LDAPMon

LDAPMon — это POC-сборщик телеметрии для ETW-провайдера Microsoft-Windows-LDAP-Client. После запуска журналы сохраняются в средстве просмотра событий. В состав этого POC входит парсер Sentinel, чтобы при необходимости вы могли собирать эти данные в SIEM. Лучше всего использовать рядом с Sysmon.

Установка

• Откройте командную строку или окно PowerShell от имени администратора.
• Запустите LDAPMon.exe.
• Не закрывайте окно LDAPMon. Если всё прошло успешно, вы увидите следующее:

.\LDAPMonitor.exe
[*] Uninstalling Manifest....
[*] Manifest Uninstalled....
[*] LDAPMon.dll Copied to C:\Windows\LDAPMon.dll
[*] Installing Manifest....
[*] Manifest Installed....
[*] Starting LDAPMon...
[+] LDAP Trace Enabled

Удаление

• Закройте или остановите процесс LDAPMon.
• Выполните logman stop LDAPMon -ets из командной строки с правами администратора.