WMI
本文档提供了有关如何将 WMI 与 Google SecOps 集成的指南。
在 Google Security Operations 中配置 WMI 集成
有关如何在 Google SecOps 中配置集成的详细说明，请参阅配置集成。
安装 WMI 客户端
如需运行 WMI 客户端，请执行以下命令，在 Google SecOps Linux 服务器上安装 WMI 客户端。 确保您拥有运行命令 (root) 的适当权限。使用远程代理时，请在远程代理服务器上运行这些命令。
wget http://www6.atomicorp.com/channels/atomic/centos/7/x86_64/RPMS/wmi-1.3.14-4.el7.art.x86_64.rpm
sudo yum localinstall wmi-1.3.14-4.el7.art.x86_64.rpm
集成参数
使用以下参数配置集成：
| 参数显示名称 | 类型 | 默认值 | 为必填项 | 说明 |
|---|---|---|---|---|
| 实例名称 | 字符串 | 不适用 | 否 | 您要为其配置集成的实例的名称。 |
| 说明 | 字符串 | 不适用 | 否 | 实例的说明。 |
| 远程运行 | 复选框 | 尚未核查 | 否 | 勾选此字段，以便远程运行配置的集成。选中后，系统会显示选择远程用户（代理）的选项。 |
操作
获取系统信息
说明
获取系统相关信息。
参数
| 参数 | 类型 | 默认值 | 为必填项 | 说明 |
|---|---|---|---|---|
| 服务器地址 | 字符串 | 不适用 | 是 | 不适用 |
| 用户名 | 字符串 | 不适用 | 否 | 不适用 |
| 密码 | 字符串 | 不适用 | 否 | 不适用 |
使用场景
不适用
运行时间
此操作会对所有实体执行。
操作执行结果
实体丰富化
不适用
数据分析
不适用
脚本结果
| 脚本结果名称 | “值”选项 | 示例 |
|---|---|---|
| system_info | True/False | system_info:False |
JSON 结果
{
"NumberOfProcessors": 1,
"MaxProcessMemorySize": "137438953344",
"SystemDrive": "C:",
"WakeUpType": 6,
"ChassisSKUNumber": "Notebook",
"BootROMSupported": true,
"ForegroundApplicationBoost": 2,
"OperatingSystemSKU": 126,
"AdminPasswordStatus": 3,
"SuiteMask": 272,
"InstallDate": "20161205114436.000000+120",
"Distributed": false,
"EncryptionLevel": 256,
"FrontPanelResetStatus": 3,
"Debug": false,
"Organization": "",
"AutomaticManagedPagefile": true,
"PowerSupplyState": 3,
"InfraredSupported": false,
"LargeSystemCache": null,
"CodeSet": "1252",
"FreeSpaceInPagingFiles": "2415000",
"DataExecutionPrevention_32BitApplications": true,
"PrimaryOwnerContact": null,
"KeyboardPasswordStatus": 3,
"BootStatus": [0, 0, 0],
"MaxNumberOfProcesses": -1,
"FreePhysicalMemory": "8962948",
"DataExecutionPrevention_Available": true,
"PCSystemTypeEx": 2,
"CSDVersion": null,
"PartOfDomain": true,
"SystemFamily": "Latitude",
"DomainRole": 1,
"CurrentTimeZone": 120,
"OSType": 18,
"SystemDirectory": "C:\\\\Windows\\\\system32",
"Workgroup": null,
"CountryCode": "1",
"NameFormat": null,
"PAEEnabled": null,
"AutomaticResetCapability": true,
"DataExecutionPrevention_Drivers": true,
"TotalVirtualMemorySize": "18896472",
"NumberOfLicensedUsers": 0,
"DataExecutionPrevention_SupportPolicy": 2,
"TotalSwapSpaceSize": null,
"PowerOnPasswordStatus": 3,
"HypervisorPresent": false,
"SystemStartupSetting": null,
"LocalDateTime": "20180220173653.403000+120",
"SystemDevice": "\\\\Device\\\\HarddiskVolume2",
"PortableOperatingSystem": false,
"Domain": "DOMAIN.COM",
"TotalPhysicalMemory": "16799850496",
"ChassisBootupState": 3,
"SystemType": "x64-based PC",
"DNSHostName": "PC-01",
"EnableDaylightSavingsTime": true,
"PCSystemType": 2,
"PrimaryOwnerName": "Windows User",
"WindowsDirectory": "C:\\\\Windows",
"PowerState": 0,
"ResetCount": -1,
"LastLoadInfo": null,
"ServicePackMinorVersion": 0,
"OEMStringArray": ["Dell System", "1[07A0]", "3[1.0]"],
"BootOptionOnWatchDog": null,
"Status": "OK",
"OSArchitecture": "64-bit",
"SystemStartupOptions": null,
"OSLanguage": 1033,
"InitialLoadInfo": null,
"Manufacturer": "Microsoft Corporation",
"BuildType": "Multiprocessor Free",
"FreeVirtualMemory": "9128168",
"OtherTypeDescription": null,
"OEMLogoBitmap": null,
"ServicePackMajorVersion": 0,
"Version": "10.0.14393",
"ThermalState": 3,
"LastBootUpTime": "20180218183758.487061+120",
"SizeStoredInPagingFiles": "2490368",
"NumberOfProcesses": 133,
"PowerManagementSupported": null,
"CSName": "PC-01",
"SerialNumber": "00378-30000-00003-AA585",
"MUILanguages": ["en-US"],
"SupportContactDescription": null,
"Primary": true,
"SystemStartupDelay": null,
"ResetLimit": -1,
"ProductType": 1,
"RegisteredUser": "Windows User",
"Roles": ["LM_Workstation",
"LM_Server",
"SQLServer"],
"PlusProductID": null,
"ResetCapability": 1,
"SystemSKUNumber": "07A0",
"OSProductSuite": 256,
"PauseAfterReset": "-1",
"NumberOfUsers": 6,
"BootupState": "Normal boot",
"Name": "Microsoft Windows 10 Enterprise N 2016 LTSB|C:\\\\Windows|\\\\Device\\\\Harddisk0\\\\Partition2",
"AutomaticResetBootOption": true,
"Caption": "Microsoft Windows 10 Enterprise N 2016 LTSB",
"TotalVisibleMemorySize": "16406104",
"PowerManagementCapabilities": null,
"Model": "Latitude 7480",
"PlusVersionNumber": null,
"Description": "",
"NetworkServerModeEnabled": true,
"NumberOfLogicalProcessors": 4,
"BootOptionOnLimit": null,
"Locale": "0409",
"CSCreationClassName": "Win32_ComputerSystem",
"UserName": "DOMAIN\\\\User",
"BuildNumber": "14393",
"DaylightInEffect": false,
"CreationClassName": "Win32_OperatingSystem",
"BootDevice": "\\\\Device\\\\HarddiskVolume1"
}
列出服务
说明
获取系统上已安装服务的列表。
参数
| 参数 | 类型 | 默认值 | 为必填项 | 说明 |
|---|---|---|---|---|
| 服务器地址 | 字符串 | 不适用 | 是 | 不适用 |
| 用户名 | 字符串 | 不适用 | 否 | 不适用 |
| 密码 | 字符串 | 不适用 | 否 | 不适用 |
使用场景
不适用
运行时间
此操作会对所有实体执行。
操作执行结果
实体丰富化
不适用
数据分析
不适用
脚本结果
| 脚本结果名称 | “值”选项 | 示例 |
|---|---|---|
| services | True/False | services:False |
JSON 结果
[
{
"DisplayName": "Adobe Flash Player Update Service",
"ServiceSpecificExitCode": 0,
"State": "Stopped",
"SystemName": "PC-01",
"ErrorControl": "Normal",
"Status": "OK",
"ProcessId": 0,
"DesktopInteract": false,
"Started": false,
"AcceptStop": false,
"CheckPoint": 0,
"PathName": "C:\\\\Windows\\\\SysWOW64\\\\Macromed\\\\Flash\\\\FlashPlayerUpdateService.exe",
"WaitHint": 0,
"Name": "AdobeFlashPlayerUpdateSvc",
"InstallDate": null,
"Caption": "Adobe Flash Player Update Service",
"StartMode": "Manual",
"Description": "This service keeps your Adobe Flash Player installation up to date with the latest enhancements and security fixes.",
"ServiceType": "Own Process",
"TagId": 0,
"DelayedAutoStart": false,
"StartName": "LocalSystem",
"AcceptPause": false,
"CreationClassName": "Win32_Service",
"SystemCreationClassName": "Win32_ComputerSystem",
"ExitCode": 0
}
]
列出用户
说明
列出系统上配置的所有用户。
参数
| 参数 | 类型 | 默认值 | 为必填项 | 说明 |
|---|---|---|---|---|
| 服务器地址 | 字符串 | 不适用 | 是 | 不适用 |
| 用户名 | 字符串 | 不适用 | 否 | 不适用 |
| 密码 | 字符串 | 不适用 | 否 | 用户的全名。 |
使用场景
不适用
运行时间
此操作会对所有实体执行。
操作执行结果
实体丰富化
不适用
数据分析
不适用
脚本结果
| 脚本结果名称 | “值”选项 | 示例 |
|---|---|---|
| 用户 | 不适用 | 不适用 |
JSON 结果
[
{
"Status": "Degraded",
"Domain": "PC-01",
"Description": "Built-in account for administering the computer/domain",
"InstallDate": null,
"Caption": "PC-01\\\\Administrator",
"Disabled": true,
"PasswordChangeable": true,
"Lockout": false,
"AccountType": 512,
"SID": "S-1-5-21-3501119061-1410835827-1917537121-500",
"LocalAccount": true,
"FullName": "",
"SIDType": 1,
"PasswordRequired": true,
"PasswordExpires": false,
"Name": "Administrator"
}
]
Ping
说明
测试连接性。
参数
不适用
使用场景
不适用
运行时间
此操作会对所有实体执行。
操作执行结果
实体丰富化
不适用
数据分析
不适用
脚本结果
| 脚本结果名称 | “值”选项 | 示例 |
|---|---|---|
| is_connected | True/False | is_connected:False |
JSON 结果
N/A
运行查询
说明
在系统上使用 WQL 运行任意查询。
参数
| 参数 | 类型 | 默认值 | 为必填项 | 说明 |
|---|---|---|---|---|
| 服务器地址 | 字符串 | 不适用 | 是 | 不适用 |
| 用户名 | 字符串 | 不适用 | 否 | 不适用 |
| 密码 | 字符串 | 不适用 | 否 | 不适用 |
| WQL 查询 | 字符串 | 不适用 | 是 | 查询内容（例如：SELECT Caption, Description FROM Win32_LogicalDisk WHERE DriveType <> 3）。 |
使用场景
不适用
运行时间
此操作会对所有实体执行。
操作执行结果
实体丰富化
不适用
数据分析
不适用
脚本结果
| 脚本结果名称 | “值”选项 | 示例 |
|---|---|---|
| 结果 | True/False | results:False |
JSON 结果
[
{
"Caption": "C:",
"Description": "Local Fixed Disk",
"DeviceID": "C:"
},
{
"Caption": "I:",
"Description": "Local Fixed Disk",
"DeviceID": "I:"
}
]