Suivre Sysmon écrit dans son propre canal de journaux événements. Dans le Visualiseur d’événements, c’est Journaux d’applications et de services → Microsoft → Windows → Sysmon → Opérationnel. En ligne de commande, c’est Microsoft-Windows-Sysmon/Operational, et sur disque C:WindowsSystem32winevtLogsMicrosoft-Windows-Sysmon%4Operational.evtx. Pour l’exporter, exécutez ceci depuis une invite élevée :
wevtutil epl "Microsoft-Windows-Sysmon/Operational" C:logssysmon.evtx
Si le canal n’existe pas, Sysmon n’est pas installé. Sur la plupart des machines, c’est encore un outil Sysinternals séparé que quelqu’un doit déployer.
Sysmon est la chose la plus proche que Windows ait d’un enregistreur de vol. Il capture des arbres de processus avec des lignes de commande et des hachages complets, des connexions réseau par processus, des requêtes DNS, et des changements de fichiers et de registres. Prime Core dispose de 12074 règles sigma écrites pour les données de Sysmon, mappées à 645 techniques MITRE ATT&CK. Voici comment vérifier qu’il est en cours d’exécution, exporter ce qu’il a enregistré et l’analyser dans LogTotal.
Avant de commencer
Est-ce en cours d’exécution ? Vérifiez le service :
sc query sysmon64
Sur les systèmes 32 bits, le service s’appelle sysmon. Vous voulez ÉTAT : EN COURS.
Que capture-t-il ? Sysmon n’enregistre que ce que sa configuration lui dit de faire. Sans fichier de configuration, vous obtenez un petit ensemble par défaut centré autour de la création de processus. La plupart de la valeur vient d’une configuration optimisée, telle que SwiftOnSecurity’s ou Olaf Hartong’s sysmon-modular. Pour voir celle en cours, exécutez sysmon64 -c (le binaire se trouve dans C:Windows). Enregistrez cette sortie à côté de votre export. Celui qui analyse le fichier demandera pourquoi il n’y a pas d’événements réseau, et la configuration répondra à cela.
Quelle est la durée de rétention ? Sysmon est bavard, et son canal a une limite de taille comme tout autre journal. Exécutez wevtutil gl « Microsoft-Windows-Sysmon/Operational » et vérifiez maxSize. Sur un serveur occupé, un journal de taille par défaut peut couvrir étonnamment peu de temps.
Vous avez besoin d’une invite élevée pour exporter.
Exportez le journal
Dans le Visualiseur d’événements, cliquez droit sur Opérationnel sous Sysmon et choisissez Enregistrer tous les événements sous…, en gardant le type .evtx . Depuis la ligne de commande, vous pouvez filtrer pendant l’export :
:: dernières 24 heures
wevtutil epl "Microsoft-Windows-Sysmon/Operational" C:logssysmon_24h.evtx /q:"*[System[TimeCreated[timediff(@SystemTime) <= 86400000]]]"
:: création de processus uniquement
wevtutil epl "Microsoft-Windows-Sysmon/Operational" C:logssysmon_proc.evtx /q:"*[System[(EventID=1)]]"
Que rechercher
| ID d’événement | Ce qu’il enregistre | Pourquoi vous vous en souciez |
|---|---|---|
| 1 | Création de processus, avec ligne de commande, hachages et parent | La colonne vertébrale de presque chaque enquête |
| 3 | Connexion réseau par processus | Souvent filtré dans les configurations à cause du volume |
| 10 | Un processus en ouvrant un autre | L’accès à lsass.exe est le signal classique de vidage d’identifiants (T1003.001) |
| 11 | Fichier créé | Charges utiles déposées, archives mises en scène |
| 12,13,14 | Changements de registre | Clés d’exécution et autres persistances |
| 22 | Requête DNS par processus | Quel processus a cherché ce domaine |
| 4,16 | État de service Sysmon et configuration modifiée | Un attaquant désactivant Sysmon ou neutralisant sa configuration |
Si les événements s’arrêtent simplement à un moment donné, recherchez l’événement 16 ou 4 juste avant la coupure. Ensuite, vérifiez le journal Système pour le service Sysmon arrêté.
Téléchargez et examinez dans LogTotal
LogTotal lit les EVTX nativement, donc il n’y a rien à convertir. Un point à savoir d’abord : LogTotal ne désinfecte pas encore les fichiers EVTX. Traitez un téléchargement EVTX comme le transfert du fichier brut. Utilisez-le librement pour les machines de test, mais pour les hôtes de production, obtenez un oui de celui qui gère la manipulation des données d’abord.
- Téléchargez. Ouvrez logtotal.com et déposez le fichier.
- Examinez. [PROOF: what the results screen shows for Sysmon data, and how findings map to rules and ATT&CK techniques]
Quand ça tourne mal
| Symptôme | Cause probable | Fix |
|---|---|---|
| Le canal spécifié n’a pas pu être trouvé | Sysmon n’est pas installé | Vérifiez avec sc query sysmon64 |
| Le canal existe mais contient presque rien | Pas de configuration, ou une configuration qui filtre presque tout | Vérifiez sysmon64 -c |
| Événements de processus mais pas d’événements réseau | La configuration exclut l’événement 3, ce qui est courant | Par conception; vérifiez la configuration avant de supposer que rien ne s’est passé |
| Les événements s’arrêtent à un moment donné | Sysmon arrêté, désinstallé ou reconfiguré | Recherchez les événements 4 et 16, et le journal Système |
| Seules les dernières heures sont présentes | Le journal est plein et se réécrit | Vérifiez maxSize; pour l’historique, utilisez votre SIEM |
| Accès refusé | L’invite n’est pas élevée | Exécutez en tant qu’administrateur |
FAQ
Sysmon est-il installé par défaut ?
Sur la plupart des machines, non. C’est un téléchargement gratuit de Sysinternals que vous déployez et configurez vous-même. Microsoft a annoncé Sysmon intégré pour les nouvelles versions de Windows, alors vérifiez ce que vos constructions intègrent réellement.
L’analyste a-t-il besoin de ma configuration Sysmon ?
Pas pour lire les événements, mais elle explique les lacunes. Envoyez la sortie de sysmon64 -c avec l’export.
Y a-t-il Sysmon pour Linux ?
Oui. Il écrit dans syslog au lieu d’un canal EVTX; nous le couvrirons dans un guide séparé.
