Windows Management Instrumentation (WMI) è un framework integrato di Windows per l'inventario del sistema, la configurazione e l'amministrazione remota. Espone i dati e i controlli del sistema operativo tramite un'interfaccia strutturata che script, strumenti di gestione e software aziendale possono interrogare. Gli amministratori lo usano per raccogliere dettagli sull'hardware, gestire i servizi, avviare processi e automatizzare attività di routine su numerosi endpoint.
WMI è importante nella sicurezza informatica perché è sia potente sia considerato affidabile. Gli aggressori spesso lo abusano per attività di tipo “living off the land”: esecuzione di comandi remoti, ricognizione degli host, movimento laterale e persistenza tramite sottoscrizioni agli eventi. Poiché WMI è una funzionalità legittima di Windows, un uso malevolo può confondersi con l'amministrazione normale. I difensori monitorano gli eventi relativi a WMI, limitano l'accesso remoto a WMI e cercano pattern di query insoliti o la creazione di processi collegata ad attività WMI. Comprendere WMI aiuta i team a distinguere la gestione ordinaria dal comportamento furtivo degli aggressori.