Làm cách nào tôi có thể theo dõi quá trình hoặc đối số của một tiện ích cụ thể trong mạng của mình?

Đối thủ có thể sử dụng InstallUtil để thực thi mã proxy thông qua tiện ích Windows đáng tin cậy. Nó cũng có thể được sử dụng để bỏ qua quá trình đưa vào danh sách trắng thông qua việc sử dụng các thuộc tính trong tệp nhị phân thực thi lớp được trang trí bằng thuộc tính.

Làm cách nào tôi có thể sử dụng theo dõi quá trình để giám sát execuiton và các đối số của InstallUtil.exe trong tổ chức của mình?

Ví dụ: bằng cách sử dụng splunk hoặc tạo GPO trong Active Directory có lẽ?

Tham khảo: https://docs.microsoft.com/en-us/dotnet/framework/tools/installutil-exe-installer-tool

IIRC, nhật ký sự kiện Windows bình thường không có đủ chi tiết cho trường hợp sử dụng của bạn. Bạn nên chạy sysmon trên các hệ thống Windows của mình và đăng nhập đầu ra trong Splunk. Điều đó sẽ cung cấp cho bạn thông tin bạn cần để phát hiện các vụ hành quyết không mong muốn.