
Proof-of-Concept-Telemetrie-Collector für Windows-LDAP-Client-Aktivitäten über ETW, der strukturierte Ereignisse im Event Viewer protokolliert und einen Sentinel-Parser für die SIEM-Aufnahme enthält.
LDAPMon ist ein POC-Telemetrie-Kollektor für den Microsoft-Windows-LDAP-Client-ETW-Anbieter. Nach dem Start werden die Protokolle in der Ereignisanzeige gespeichert. Dieser POC wird mit einem Sentinel-Parser geliefert, sodass Sie diese Daten bei Bedarf in einer SIEM sammeln können. Am besten zusammen mit Sysmon einsetzbar.
LDAPMon.exe aus..\LDAPMonitor.exe
[*] Uninstalling Manifest....
[*] Manifest Uninstalled....
[*] LDAPMon.dll Copied to C:\Windows\LDAPMon.dll
[*] Installing Manifest....
[*] Manifest Installed....
[*] Starting LDAPMon...
[+] LDAP Trace Enabled
logman stop LDAPMon -ets aus einer Eingabeaufforderung mit Administratorrechten aus.