Skip to content
WMIparser

Glosario

Espacio de nombres WMI (root\subscription)

Un contenedor de clases e instancias WMI, similar a una carpeta, como root\cimv2. Las suscripciones permanentes suelen residir en root\subscription.

Un espacio de nombres WMI agrupa clases e instancias, igual que una carpeta agrupa archivos. Los espacios de nombres forman un árbol bajo root, y cada objeto WMI pertenece exactamente a uno de ellos. Algunos son los que más importan en una investigación:

  • root\cimv2 contiene las clases Win32 (procesos, servicios, discos, inicios de sesión) y es el origen habitual de los eventos.
  • root\subscription contiene las clases de consumidor de eventos estándar y, normalmente, las suscripciones de eventos permanentes.
  • root\default es otro lugar donde a veces se registran suscripciones.
  • root\ccm\SoftwareMeteringAgent solo existe con el cliente de ConfigMgr y contiene CCM_RecentlyUsedApps.

Las clases de sistema como __EventFilter y __FilterToConsumerBinding están definidas en __SystemClass, y cada espacio de nombres enumera sus espacios de nombres hijos como instancias de __NAMESPACE.

Por qué importa en una investigación

Una suscripción no tiene que residir en root\subscription para funcionar. Un __EventFilter indica en su propiedad EventNamespace el espacio de nombres que vigila, así que un filtro, un consumidor y un enlace registrados en root\cimv2 o root\default pueden seguir vigilando eventos de root\cimv2. Las consultas en vivo que solo miran root\subscription no los detectan; revise todos los espacios de nombres o analice el repositorio completo.

En el repositorio CIM, los nombres de los espacios de nombres solo aparecen como hashes en las claves de INDEX.BTR (NS_<hash>); los nombres legibles se reconstruyen recorriendo las instancias de __NAMESPACE desde root. Los registros recuperados mediante carving de OBJECTS.DATA no indican de qué espacio de nombres proceden, así que un enlace recuperado puede haber residido en cualquier parte.

Ejemplo

Listar los objetos de suscripción de los espacios de nombres habituales en un host en vivo:

'root/subscription','root/cimv2','root/default' | ForEach-Object {
  Get-CimInstance -Namespace $_ -ClassName __FilterToConsumerBinding -ErrorAction SilentlyContinue
}

Esto solo muestra objetos activos y depende del servicio WMI de un host posiblemente comprometido, así que úselo para el triaje y analice también el repositorio recopilado.

Términos relacionados

WMI Parser indica el espacio de nombres de cada objeto encontrado a través del índice. Para saber qué revisar más allá de root\subscription, consulte Persistencia WMI: checklist de respuesta a incidentes.