Стежити Sysmon записує в свій власний канал журналу подій. У Переглядачі подій це Журнали застосунків та служб → Microsoft → Windows → Sysmon → Операційний. У командному рядку це Microsoft-Windows-Sysmon/Operational, і на диску C:WindowsSystem32winevtLogsMicrosoft-Windows-Sysmon%4Operational.evtx. Щоб експортувати його, виконайте це з підвищеним доступом:
wevtutil epl "Microsoft-Windows-Sysmon/Operational" C:logssysmon.evtx
Якщо канал не існує, Sysmon не встановлено. На більшості машин це все ще окремий інструмент Sysinternals, який потрібно розгорнути.
Sysmon є найближчим до реєстратора польотів, що має Windows. Він захоплює дерева процесів із повними командними рядками та хешами, мережеві з’єднання на процес, DNS-запити та зміни файлів і реєстру. Prime Core має 12074 sigma-правила, написані для даних Sysmon, зіставлені до 645 MITRE ATT&CK технік. Ось як перевірити, що він працює, експортувати те, що він записав, та дослідити в LogTotal.
Перш ніж почати
Він працює? Перевірте службe:
sc query sysmon64
На 32-бітних системах службa називається sysmon. Вам потрібно СТАНИ: ПРАЦЮЄ.
Що він записує? Sysmon записує лише те, що йому говорить його конфігурація. Без конфігураційного файлу ви отримуєте невеликий стандартний набір, заснований на створенні процесу. Більшість цінності походить від налаштованої конфігурації, такої як sysmon-modular від SwiftOnSecurity або Olaf Hartong. Щоб побачити поточну, виконайте sysmon64 -c (бінарний файл знаходиться в C:Windows). Збережіть цей вихід поряд із вашим експортом. Хто буде аналізувати файл, запитає, чому немає мережевих подій, і конфігурація відповідає на це.
Як далеко назад це йде? Sysmon є балакучим, і його канал має обмеження розміру, як і будь-який інший журнал. Запустіть wevtutil gl “Microsoft-Windows-Sysmon/Operational” і перевірте maxSize. На завантаженому сервері журнал стандартного розміру може покрити дивно невеликий проміжок часу.
Вам потрібен підвищений доступ для експорту.
Експорт журналу
У Переглядачі подій, клацніть правою кнопкою миші Операційний під Sysmon та виберіть Зберегти всі події як…, зберігаючи тип .evtx . З командного рядка ви можете фільтрувати під час експорту:
:: останні 24 години
wevtutil epl "Microsoft-Windows-Sysmon/Operational" C:logssysmon_24h.evtx /q:"*[System[TimeCreated[timediff(@SystemTime) <= 86400000]]]"
:: тільки створення процесу
wevtutil epl "Microsoft-Windows-Sysmon/Operational" C:logssysmon_proc.evtx /q:"*[System[(EventID=1)]]"
Що шукати
| ID події | Що він записує | Чому це вас хвилює |
|---|---|---|
| 1 | Створення процесу, з командним рядком, хешами та батьком | Основа майже кожного розслідування |
| 3 | Мережеве з’єднання на процес | Часто відфільтровується в налаштуваннях через великий об’єм |
| 10 | Один процес відкриває інший | Доступ до lsass.exe є класичним сигналом зливу облікових даних (T1003.001) |
| 11 | Файл створено | Завантажені корисні навантаження, підготовлені архіви |
| 12,13,14 | Зміни в реєстрі | Ключі запуску та інша постійність |
| 22 | DNS-запит на процес | Який процес шукав цей домен |
| 4,16 | Стан служби Sysmon та зміна конфігурації | Атакувальник вимикає Sysmon або нейтралізує його конфігурацію |
Якщо події просто зупиняються в певний момент, шукайте подію 16 або 4 безпосередньо перед пробілом. Потім перевірте системний журнал на зупинку служби Sysmon.
Завантаження та аналіз у LogTotal
LogTotal читає EVTX у нативному форматі, тому нічого конвертувати не потрібно. Одна річ, яку слід знати спершу: LogTotal ще не очищує файли EVTX. Розглядайте завантаження EVTX як передачу сирого файлу. Використовуйте його вільно для тестових машин, але для виробничих хостів спершу отримайте дозвіл від того, хто відповідає за обробку даних.
- Завантажити. Відкрити logtotal.com та перетягніть файл.
- Оглянути. [PROOF: what the results screen shows for Sysmon data, and how findings map to rules and ATT&CK techniques]
Коли щось іде не так
| Симптом | Ймовірна причина | Fix |
|---|---|---|
| Зазначений канал не знайдено | Sysmon не встановлено | Перевірте за допомогою sc query sysmon64 |
| Канал існує, але майже пустий | Немає конфігурації або конфігурація, що відфільтровує майже все | Перевірте sysmon64 -c |
| Події процесу, але без мережевих подій | Конфігурація виключає подію 3, що є загальним | За дизайном; перевірте конфігурацію перед тим, як припускати, що нічого не відбулося |
| Події зупиняються в певний момент | Sysmon зупинено, видалено чи переналаштовано | Шукайте події 4 та 16, і системний журнал |
| Лише останні кілька годин присутні | Журнал заповнений та переписується | Перевірте maxSize; для історії використовуйте свій SIEM |
| Доступ заборонено | Підвищений доступ не встановлено | Запустіть від імені адміністратора |
FAQ
Sysmon встановлено за замовчуванням?
На більшості машин – ні. Це безкоштовне завантаження Sysinternals, яке ви самі завантажуєте та налаштовуєте. Microsoft оголосила про вбудований Sysmon для новіших випусків Windows, тому перевірте, з чим ваші збірки насправді постачаються.
Чи потрібна аналітику моя конфігурація Sysmon?
Ні для читання подій, але це пояснює прогалини. Надішліть вихід sysmon64 -c разом з експортом.
Чи є Sysmon для Linux?
Так. Він записує в syslog замість каналу EVTX; ми розглянемо це в окремому посібнику.
