
Coletor de telemetria de prova de conceito para atividade de clientes LDAP no Windows via ETW, registrando eventos estruturados no Event Viewer com um parser do Sentinel para ingestão em SIEM.
LDAPMon é um coletor de telemetria POC para o provedor ETW Microsoft-Windows-LDAP-Client. Uma vez iniciado, os logs serão armazenados no EventViewer. Este POC vem com um parser do Sentinel, para que, se você quiser coletar esses dados dentro de um SIEM, possa fazê-lo. Melhor utilizado quando executado junto ao Sysmon.
LDAPMon.exe..\LDAPMonitor.exe
[*] Uninstalling Manifest....
[*] Manifest Uninstalled....
[*] LDAPMon.dll Copied to C:\Windows\LDAPMon.dll
[*] Installing Manifest....
[*] Manifest Installed....
[*] Starting LDAPMon...
[+] LDAP Trace Enabled
logman stop LDAPMon -ets a partir de um prompt elevado.