用途：检测攻击者利用 WMI（如 wmic process call create 或 Win32_Process.Create()）在远程主机执行命令的横向移动行为。
主要能力：从 EVTX 日志中提取 Windows 安全事件 ID 4688 与 Sysmon 事件 ID 1；标记父进程为 WmiPrvSE.exe 的子进程（如 cmd.exe、powershell.exe）；分析命令行模式，识别 cmd.exe /q /c、输出重定向到 admin$ 共享等可疑特征；解析 WMI-Activity/Operational 日志（事件 5857、5860、5861）以发现事件订阅持久化。
使用方式：需启用进程创建审核（4688 含命令行）、安装并配置 Sysmon 事件 1、Python 3.9+ 及 python-evtx、lxml 库，并理解 WMI 架构与 WmiPrvSE.exe 行为。步骤为解析进程创建事件、检测 WmiPrvSE 子进程、分析命令行模式、检查 WMI 事件订阅。
适用场景：安全事件调查、构建检测规则或威胁狩猎查询、SOC 分析流程、验证相关攻击技术的监控覆盖。
限制：依赖日志与审核配置，资料未提供具体检测规则、误报率或平台兼容性细节。