WMI

In diesem Dokument wird beschrieben, wie Sie WMI in Google SecOps einbinden.

WMI-Integration in Google Security Operations konfigurieren

Eine ausführliche Anleitung zum Konfigurieren einer Integration in Google SecOps finden Sie unter Integrationen konfigurieren.

WMI-Client installieren

Führen Sie die folgenden Befehle aus, um den WMI-Client auf dem Google SecOps-Linux-Server zu installieren und auszuführen. Sie benötigen die entsprechenden Berechtigungen (Root), um die Befehle auszuführen. Wenn Sie mit dem Remote-Agent arbeiten, führen Sie die Befehle auf dem Remote-Agent-Server aus.

wget http://www6.atomicorp.com/channels/atomic/centos/7/x86_64/RPMS/wmi-1.3.14-4.el7.art.x86_64.rpm
sudo yum localinstall wmi-1.3.14-4.el7.art.x86_64.rpm

Integrationsparameter

Verwenden Sie die folgenden Parameter, um die Integration zu konfigurieren:

Anzeigename des Parameters Typ Standardwert Ist obligatorisch Beschreibung
Instanzname String – Nein Name der Instanz, für die Sie die Integration konfigurieren möchten.
Beschreibung String – Nein Beschreibung der Instanz.
Remote ausführen Kästchen Deaktiviert Nein Klicken Sie das Feld an, um die konfigurierte Integration remote auszuführen. Nachdem Sie das Häkchen gesetzt haben, wird die Option zum Auswählen des Remote-Nutzers (Agenten) angezeigt.

Aktionen

Systeminformationen abrufen

Beschreibung

Informationen zu einem System abrufen.

Parameter

Parameter Typ Standardwert Ist obligatorisch Beschreibung
Serveradresse String – Ja –
Nutzername String – Nein –
Passwort String – Nein –

Anwendungsfälle

–

Ausführen am

Diese Aktion wird für alle Entitäten ausgeführt.

Aktionsergebnisse

Entitätsanreicherung

–

Statistiken

–

Scriptergebnis
Name des Skriptergebnisses Wertoptionen Beispiel
system_info Wahr/falsch system_info:False
JSON-Ergebnis
{
    "NumberOfProcessors": 1,
    "MaxProcessMemorySize": "137438953344",
    "SystemDrive": "C:",
    "WakeUpType": 6,
    "ChassisSKUNumber": "Notebook",
    "BootROMSupported": true,
    "ForegroundApplicationBoost": 2,
    "OperatingSystemSKU": 126,
    "AdminPasswordStatus": 3,
    "SuiteMask": 272,
    "InstallDate": "20161205114436.000000+120",
    "Distributed": false,
    "EncryptionLevel": 256,
    "FrontPanelResetStatus": 3,
    "Debug": false,
    "Organization": "",
    "AutomaticManagedPagefile": true,
    "PowerSupplyState": 3,
    "InfraredSupported": false,
    "LargeSystemCache": null,
    "CodeSet": "1252",
    "FreeSpaceInPagingFiles": "2415000",
    "DataExecutionPrevention_32BitApplications": true,
    "PrimaryOwnerContact": null,
    "KeyboardPasswordStatus": 3,
    "BootStatus": [0, 0, 0],
    "MaxNumberOfProcesses": -1,
    "FreePhysicalMemory": "8962948",
    "DataExecutionPrevention_Available": true,
    "PCSystemTypeEx": 2,
    "CSDVersion": null,
    "PartOfDomain": true,
    "SystemFamily": "Latitude",
    "DomainRole": 1,
    "CurrentTimeZone": 120,
    "OSType": 18,
    "SystemDirectory": "C:\\\\Windows\\\\system32",
    "Workgroup": null,
    "CountryCode": "1",
    "NameFormat": null,
    "PAEEnabled": null,
    "AutomaticResetCapability": true,
    "DataExecutionPrevention_Drivers": true,
    "TotalVirtualMemorySize": "18896472",
    "NumberOfLicensedUsers": 0,
    "DataExecutionPrevention_SupportPolicy": 2,
    "TotalSwapSpaceSize": null,
    "PowerOnPasswordStatus": 3,
    "HypervisorPresent": false,
    "SystemStartupSetting": null,
    "LocalDateTime": "20180220173653.403000+120",
    "SystemDevice": "\\\\Device\\\\HarddiskVolume2",
    "PortableOperatingSystem": false,
    "Domain": "DOMAIN.COM",
    "TotalPhysicalMemory": "16799850496",
    "ChassisBootupState": 3,
    "SystemType": "x64-based PC",
    "DNSHostName": "PC-01",
    "EnableDaylightSavingsTime": true,
    "PCSystemType": 2,
    "PrimaryOwnerName": "Windows User",
    "WindowsDirectory": "C:\\\\Windows",
    "PowerState": 0,
    "ResetCount": -1,
    "LastLoadInfo": null,
    "ServicePackMinorVersion": 0,
    "OEMStringArray": ["Dell System", "1[07A0]", "3[1.0]"],
    "BootOptionOnWatchDog": null,
    "Status": "OK",
    "OSArchitecture": "64-bit",
    "SystemStartupOptions": null,
    "OSLanguage": 1033,
    "InitialLoadInfo": null,
    "Manufacturer": "Microsoft Corporation",
    "BuildType": "Multiprocessor Free",
    "FreeVirtualMemory": "9128168",
    "OtherTypeDescription": null,
    "OEMLogoBitmap": null,
    "ServicePackMajorVersion": 0,
    "Version": "10.0.14393",
    "ThermalState": 3,
    "LastBootUpTime": "20180218183758.487061+120",
    "SizeStoredInPagingFiles": "2490368",
    "NumberOfProcesses": 133,
    "PowerManagementSupported": null,
    "CSName": "PC-01",
    "SerialNumber": "00378-30000-00003-AA585",
     "MUILanguages": ["en-US"],
     "SupportContactDescription": null,
     "Primary": true,
     "SystemStartupDelay": null,
     "ResetLimit": -1,
     "ProductType": 1,
     "RegisteredUser": "Windows User",
     "Roles": ["LM_Workstation",
               "LM_Server",
               "SQLServer"],
     "PlusProductID": null,
     "ResetCapability": 1,
     "SystemSKUNumber": "07A0",
     "OSProductSuite": 256,
     "PauseAfterReset": "-1",
     "NumberOfUsers": 6,
     "BootupState": "Normal boot",
     "Name": "Microsoft Windows 10 Enterprise N 2016   LTSB|C:\\\\Windows|\\\\Device\\\\Harddisk0\\\\Partition2",
     "AutomaticResetBootOption": true,
     "Caption": "Microsoft Windows 10 Enterprise N 2016 LTSB",
     "TotalVisibleMemorySize": "16406104",
     "PowerManagementCapabilities": null,
     "Model": "Latitude 7480",
     "PlusVersionNumber": null,
     "Description": "",
     "NetworkServerModeEnabled": true,
     "NumberOfLogicalProcessors": 4,
     "BootOptionOnLimit": null,
     "Locale": "0409",
     "CSCreationClassName": "Win32_ComputerSystem",
     "UserName": "DOMAIN\\\\User",
     "BuildNumber": "14393",
     "DaylightInEffect": false,
     "CreationClassName": "Win32_OperatingSystem",
     "BootDevice": "\\\\Device\\\\HarddiskVolume1"
}

Dienste auflisten

Beschreibung

Rufen Sie die Liste der auf dem System installierten Dienste ab.

Parameter

Parameter Typ Standardwert Ist obligatorisch Beschreibung
Serveradresse String – Ja –
Nutzername String – Nein –
Passwort String – Nein –

Anwendungsfälle

–

Ausführen am

Diese Aktion wird für alle Entitäten ausgeführt.

Aktionsergebnisse

Entitätsanreicherung

–

Statistiken

–

Scriptergebnis
Name des Skriptergebnisses Wertoptionen Beispiel
Dienste Wahr/falsch services:False
JSON-Ergebnis
[
    {
        "DisplayName": "Adobe Flash Player Update Service",
        "ServiceSpecificExitCode": 0,
        "State": "Stopped",
        "SystemName": "PC-01",
        "ErrorControl": "Normal",
        "Status": "OK",
        "ProcessId": 0,
        "DesktopInteract": false,
        "Started": false,
        "AcceptStop": false,
        "CheckPoint": 0,
        "PathName": "C:\\\\Windows\\\\SysWOW64\\\\Macromed\\\\Flash\\\\FlashPlayerUpdateService.exe",
        "WaitHint": 0,
        "Name": "AdobeFlashPlayerUpdateSvc",
        "InstallDate": null,
        "Caption": "Adobe Flash Player Update Service",
        "StartMode": "Manual",
        "Description": "This service keeps your Adobe Flash Player installation up to date with the latest enhancements and security fixes.",
        "ServiceType": "Own Process",
        "TagId": 0,
        "DelayedAutoStart": false,
        "StartName": "LocalSystem",
        "AcceptPause": false,
        "CreationClassName": "Win32_Service",
        "SystemCreationClassName": "Win32_ComputerSystem",
        "ExitCode": 0
    }
]

Nutzer auflisten

Beschreibung

Alle auf einem System konfigurierten Nutzer auflisten.

Parameter

Parameter Typ Standardwert Ist obligatorisch Beschreibung
Serveradresse String – Ja –
Nutzername String – Nein –
Passwort String – Nein Vollständiger Name des Nutzers.

Anwendungsfälle

–

Ausführen am

Diese Aktion wird für alle Entitäten ausgeführt.

Aktionsergebnisse

Entitätsanreicherung

–

Statistiken

–

Scriptergebnis
Name des Skriptergebnisses Wertoptionen Beispiel
Nutzer – –
JSON-Ergebnis
[
    {
        "Status": "Degraded",
        "Domain": "PC-01",
        "Description": "Built-in account for administering the computer/domain",
        "InstallDate": null,
        "Caption": "PC-01\\\\Administrator",
        "Disabled": true,
        "PasswordChangeable": true,
        "Lockout": false,
        "AccountType": 512,
        "SID": "S-1-5-21-3501119061-1410835827-1917537121-500",
        "LocalAccount": true,
        "FullName": "",
        "SIDType": 1,
        "PasswordRequired": true,
        "PasswordExpires": false,
        "Name": "Administrator"
    }
]

Ping

Beschreibung

Verbindung testen

Parameter

–

Anwendungsfälle

–

Ausführen am

Diese Aktion wird für alle Entitäten ausgeführt.

Aktionsergebnisse

Entitätsanreicherung

–

Statistiken

–

Scriptergebnis
Name des Skriptergebnisses Wertoptionen Beispiel
is_connected Wahr/falsch is_connected:False
JSON-Ergebnis
N/A

Abfrage ausführen

Beschreibung

Führen Sie eine beliebige Abfrage mit WQL auf dem System aus.

Parameter

Parameter Typ Standardwert Ist obligatorisch Beschreibung
Serveradresse String – Ja –
Nutzername String – Nein –
Passwort String – Nein –
WQL-Abfrage String – Ja Abfrageinhalt(z. B. SELECT Caption, Description FROM Win3).

Anwendungsfälle

–

Ausführen am

Diese Aktion wird für alle Entitäten ausgeführt.

Aktionsergebnisse

Entitätsanreicherung

–

Statistiken

–

Scriptergebnis
Name des Skriptergebnisses Wertoptionen Beispiel
Ergebnisse Wahr/falsch results:False
JSON-Ergebnis
[
   {
     "Caption": "C:",
     "Description": "Local Fixed Disk",
     "DeviceID": "C:"
   },
   {
     "Caption": "I:",
     "Description": "Local Fixed Disk",
     "DeviceID": "I:"
   }
 ]

Benötigen Sie weitere Hilfe? Antworten von Community-Mitgliedern und Google SecOps-Experten erhalten