// Nachschlagewerk

Event-IDs im Kanal WMI

Event-IDs aus dem Kanal Microsoft-Windows-WMI-Activity/Operational: Aktivitäten der Windows-Verwaltungsinstrumentation, allen voran neu registrierte permanente WMI-Ereignisabonnements.

WMI ist für Angreifer doppelt interessant: als Weg zur Remote-Ausführung und als unauffällige Persistenz, die in keinem Autostart-Ordner auftaucht. Permanente Abonnements aus Filter und Consumer zeigt Event 5861 samt Befehlszeile oder Skript des Consumers. Das ist das Gegenstück zu Sysmon Event 19 bis 21, funktioniert aber ohne zusätzliche Software.

Der Kanal ist ab Windows 10 und Server 2016 standardmäßig aktiv. Du musst ihn nur an dein SIEM weiterleiten.

Alle
AppLocker
Aufgabenplanung
BITS
Defender
Directory Service
NTLM
PowerShell
Remote-Zugriff
Security
Sysmon
System
WMI

Initial Access
Execution
Persistence
Privilege Escalation
Defense Evasion
Credential Access
Discovery
Lateral Movement
Collection
Command and Control
Impact

ID	Bedeutung	Kanal	Relevanz	MITRE
5861	Permanenter WMI-Consumer registriert	WMI	hoch	T1546.003, T1047