検出ギャップ: MITRE ATT&CK T1047

WMIはなぜ注目すべきなのか

Windows Management Instrumentation（WMI）は、企業のWindows環境で日常的に使われている管理基盤です。パッチ適用、資産情報の収集、リモート管理など、正当な用途が非常に多いため、単純にWMIの利用を止めたり、WMIそのものを「危険なもの」として扱ったりするのは現実的ではありません。

一方で、攻撃者にとってもWMIは便利な仕組みです。リモートシステム上でのコマンド実行、ネットワーク内の情報収集、横展開、さらにイベントサブスクリプションを利用した永続化など、複数の攻撃活動に利用できます。

Windows 11でwmic.exeがなくなっても、WMIはなくならない

2026年8月のWindows 11アップデートでは、従来のコマンドラインツール「wmic.exe」が削除されました。ただし、これはWMIそのものが廃止されたという意味ではありません。WMIの基盤は引き続き利用でき、PowerShellのInvoke-WmiMethodやGet-CimInstance、COM APIなどを通じてアクセスできます。

そのため、セキュリティ監視では、昔ながらのwmic.exeのコマンドだけを探すのではなく、WMIを利用した一連の挙動そのものを見る必要があります。

正常なWMI利用と、攻撃者による利用の違い

WMIの検知で難しいのは、正常な管理操作と攻撃活動の両方が同じ仕組みを利用することです。重要なのは「WMIが使われたか」ではなく、「誰が、どこから、なぜ、何を起動したのか」という文脈です。

攻撃の可能性が高まるパターン

たとえば、通常はリモート管理を行わない端末から別の端末へ接続が発生し、その直後にリモートログオンが確認され、さらにwmiprvse.exeからスクリプトホストやエンコードされたコマンド、業務上の理由が説明できない一時ファイル由来の実行ファイルなどが起動された場合です。

個々のイベントだけでは、必ずしも攻撃とは断定できません。しかし、複数のイベントを時間軸でつなげると、攻撃者がWMIを使って別の端末へ移動している可能性を高い確度で判断できる場合があります。

重要なのは「単発のイベント」ではなく「イベントのつながり」

WMIによる攻撃を調査する際には、接続先ホストで発生したリモートログオンと、その後にwmiprvse.exeが生成した子プロセスなど、別々の場所にある情報を関連付ける必要があります。

こうした相関分析を手作業で行うと、正規のリモート管理が多い企業環境では調査時間が大きくなります。原記事では、Symantec CBXおよびCarbon Black CloudのThreat Tracerを例として、デバイス、ユーザー、プロセス、ファイルなどの関係を可視化し、複数の手掛かりを一つの流れとして確認する方法を紹介しています。

セキュリティ担当者が確認しておきたい3つの質問

1. 自社環境でリモートWMIを開始できるアカウントと端末を把握できているか。
2. リモートログオンの直後に、説明のつかないwmiprvse.exeの子プロセスが起動した場合、自動的に相関して検知できるか。
3. WMIイベントサブスクリプションによる永続化についても監視できているか。

まとめ

WMIは、企業ネットワークにとって必要不可欠な管理基盤である一方、攻撃者にも利用される「信頼された仕組み」です。そのため、WMIを使ったという事実だけで判断するのではなく、接続元、アカウント、ログオン、生成されたプロセス、コマンドライン、時間、対象範囲などを組み合わせて判断することが重要です。

特に、リモートログオンとwmiprvse.exeによるプロセス生成が短時間に連続して発生し、通常の管理作業として説明できない場合は、横展開などの攻撃活動を疑う重要なシグナルになります。

WMIの利用が一見正常に見えても、そこに隠れた兆候を見逃さないためには、周辺の「文脈」を捉えることが重要です。Symantec CBXは、関連するイベントやプロセスを横断して分析し、アナリストが状況をより迅速に把握できるよう支援します。詳しい機能については、1対1のデモでご確認ください。