LDAPMon

LDAPMon 是 Microsoft-Windows-LDAP-Client ETW 提供程序的一个 POC 遥测收集器。启动后，日志将存储在事件查看器中。该 POC 附带一个 Sentinel 解析器，因此如果您想在 SIEM 中收集这些数据，可以这样做。最好在 Sysmon 旁边运行。

安装

• 以管理员身份打开 cmd 或 PowerShell 提示符。
• 运行 LDAPMon.exe。
• 不要关闭 LDAPMon 窗口。 如果一切成功，您将看到以下内容：

.\LDAPMonitor.exe
[*] Uninstalling Manifest....
[*] Manifest Uninstalled....
[*] LDAPMon.dll Copied to C:\Windows\LDAPMon.dll
[*] Installing Manifest....
[*] Manifest Installed....
[*] Starting LDAPMon...
[+] LDAP Trace Enabled

卸载

• 关闭或停止 LDAPMon 进程。
• 从提升的提示符运行 logman stop LDAPMon -ets。