LDAPMon

LDAPMon هو مجمع بيانات تتبع (POC) لموفر ETW الخاص بـ Microsoft-Windows-LDAP-Client. بمجرد تشغيله، سيتم تخزين السجلات داخل EventViewer. يأتي هذا النموذج التجريبي مع محلل Sentinel، بحيث يمكنك جمع هذه البيانات داخل SIEM إذا أردت ذلك. يُستخدم بشكل أفضل عند تشغيله بجانب Sysmon.

التثبيت

• افتح موجه أوامر (cmd) أو PowerShell بصلاحيات المسؤول (Administrator).
• شغّل LDAPMon.exe.
• لا تُغلق نافذة LDAPMon. إذا نجح كل شيء، فسترى ما يلي:

.\LDAPMonitor.exe
[*] Uninstalling Manifest....
[*] Manifest Uninstalled....
[*] LDAPMon.dll Copied to C:\Windows\LDAPMon.dll
[*] Installing Manifest....
[*] Manifest Installed....
[*] Starting LDAPMon...
[+] LDAP Trace Enabled

إلغاء التثبيت

• أغلق أو أوقف عملية LDAPMon.
• شغّل logman stop LDAPMon -ets من موجه بصلاحيات مرتفعة.