用途：该技能用于狩猎 WMI 事件订阅持久化（MITRE ATT&CK T1546.003），适用于端点遥测中发现可疑 WMI 活动后、事件响应中识别攻击者持久化机制、Sysmon 触发事件 ID 19/20/21 告警时，以及紫队演练测试 WMI 持久化场景。
主要能力：解析 Sysmon 事件 ID 19（WmiEventFilter）、20（WmiEventConsumer）、21（WmiEventConsumerToFilter）；标记执行代码的 CommandLineEventConsumer 与 ActiveScriptEventConsumer 类型；分析 EventFilter 中的 WQL 查询，识别进程启动触发或定时执行；关联 FilterToConsumerBindings；查询 root\subscription 与 root\default 命名空间中的活动订阅；与已知正常订阅（如 SCCM、杀毒软件）交叉验证；输出结构化狩猎结果，包含 Hunt ID、技术编号、主机、事件类型、消费者类型、WQL 查询、执行命令、风险等级与建议操作。
使用方式：需先部署 Sysmon v6.1+ 并启用 WMI 事件日志（事件 ID 19、20、21），配置 Windows 安全事件日志转发，将 Sysmon 数据接入 SIEM（Splunk、Elastic、Sentinel），并具备 PowerShell 访问权限用于 WMI 枚举。可配合 WMI Explorer、Sysinternals Autoruns、Velociraptor 等工具进行人工复核与端点采集。
适用场景：端点威胁狩猎、事件响应、紫队演练、SIEM 告警分析。
限制：依赖 Sysmon 正确配置与日志采集；需区分合法 WMI 订阅以避免误报；具体命令与脚本示例暂未提供。