LDAPMon

LDAPMon은 Microsoft-Windows-LDAP-Client ETW 공급자를 위한 POC 텔레메트리 수집기입니다. 시작되면 로그는 EventViewer 내에 저장됩니다. 이 POC에는 Sentinel 파서가 포함되어 있어 SIEM 내에서 이 데이터를 수집하려는 경우 그렇게 할 수 있습니다. Sysmon과 함께 실행할 때 가장 좋습니다.

설치

• 관리자 권한으로 cmd 또는 powershell 프롬프트를 엽니다.
• LDAPMon.exe를 실행합니다.
• LDAPMon 창을 닫지 마십시오. 모든 것이 성공하면 다음과 같이 표시됩니다:

.\LDAPMonitor.exe
[*] Uninstalling Manifest....
[*] Manifest Uninstalled....
[*] LDAPMon.dll Copied to C:\Windows\LDAPMon.dll
[*] Installing Manifest....
[*] Manifest Installed....
[*] Starting LDAPMon...
[+] LDAP Trace Enabled

제거

• LDAPMon 프로세스를 닫거나 중지합니다.
• 관리자 권한 프롬프트에서 logman stop LDAPMon -ets를 실행합니다.