LDAPMon

LDAPMon は、Microsoft-Windows-LDAP-Client ETW プロバイダー向けの POC テレメトリコレクターです。起動すると、ログはイベントビューアーに保存されます。この POC には Sentinel パーサーが付属しているため、SIEM 内でこのデータを収集したい場合に利用できます。Sysmon の隣で実行するのが最適です。

インストール

• 管理者として cmd または powershell プロンプトを開いてください。
• LDAPMon.exe を実行してください。
• LDAPMon ウィンドウを閉じないでください。 すべてが成功した場合、次のように表示されます：

.\LDAPMonitor.exe
[*] Uninstalling Manifest....
[*] Manifest Uninstalled....
[*] LDAPMon.dll Copied to C:\Windows\LDAPMon.dll
[*] Installing Manifest....
[*] Manifest Installed....
[*] Starting LDAPMon...
[+] LDAP Trace Enabled

アンインストール

• LDAPMon プロセスを閉じるか停止してください。
• 昇格したプロンプトから logman stop LDAPMon -ets を実行してください。