Wo Sie Sysmon-Logs auf Windows finden und wie Sie diese exportieren

Sysmon schreibt in seinen eigenen Ereignisprotokollkanal. Im Ereignisanzeige ist das Anwendungs- und Dienstprotokolle → Microsoft → Windows → Sysmon → Betrieb. In der Befehlszeile ist es Microsoft-Windows-Sysmon/Operational, und auf der Festplatte C:WindowsSystem32winevtLogsMicrosoft-Windows-Sysmon%4Operational.evtx. Um es zu exportieren, führen Sie dies von einer erhöhten Eingabeaufforderung aus:

wevtutil epl "Microsoft-Windows-Sysmon/Operational" C:logssysmon.evtx

Wenn der Kanal nicht existiert, ist Sysmon nicht installiert. Auf den meisten Maschinen ist es immer noch ein separates Sysinternals-Tool, das jemand bereitstellen muss.

Sysmon ist das, was Windows am nächsten an einem Flugschreiber hat. Es erfasst Prozessbäume mit vollen Befehlszeilen und Hashs, Netzwerkverbindungen pro Prozess, DNS-Abfragen sowie Datei- und Registrierungänderungen. Prime Core hat 12074 Sigma-Regeln für Sysmon-Daten geschrieben, die 645 MITRE ATT&CK-Techniken zugeordnet sind. Hier erfahren Sie, wie Sie überprüfen, ob es läuft, was es aufgezeichnet hat und wie Sie es in LogTotal untersuchen können.

Kostenlos starten

Bevor Sie beginnen

Läuft es? Überprüfen Sie den Dienst:

sc query sysmon64

Auf 32-Bit-Systemen heißt der Dienst sysmon. Sie möchten STATUS: LÄUFT.

Was zeichnet es auf? Sysmon protokolliert nur, was ihm seine Konfiguration vorgibt. Ohne eine Konfigurationsdatei erhalten Sie eine kleine Standardmenge, die auf der Prozesserstellung basiert. Der größte Wert kommt von einer abgestimmten Konfiguration, wie die von SwiftOnSecurity oder Olaf Hartongs sysmon-modular. Um die aktuelle zu sehen, führen Sie aus sysmon64 -c (die Binärdatei befindet sich in C:Windows). Speichern Sie diese Ausgabe neben Ihrem Export. Wer auch immer die Datei analysiert, wird fragen, warum keine Netzereignisse vorhanden sind, und die Konfiguration beantwortet das.

Wie weit zurück geht es? Sysmon ist gesprächig, und sein Kanal hat eine Größenbeschränkung wie jedes andere Protokoll. Führen Sie aus wevtutil gl „Microsoft-Windows-Sysmon/Operational“ und überprüfen Sie maxSize. Auf einem stark ausgelasteten Server kann ein Standardprotokoll überraschend wenig Zeit abdecken.

Sie benötigen eine erhöhte Eingabeaufforderung zum Exportieren.

Protokoll exportieren

Im Ereignisanzeige mit der rechten Maustaste auf Betrieb unter Sysmon klicken und Alle Ereignisse speichern unter…wählen, unter Beibehaltung des .evtx Typs. Von der Befehlszeile aus können Sie filtern, während Sie exportieren:

:: letzte 24 Stunden

wevtutil epl "Microsoft-Windows-Sysmon/Operational" C:logssysmon_24h.evtx /q:"*[System[TimeCreated[timediff(@SystemTime) <= 86400000]]]"



:: nur Prozesserstellung

wevtutil epl "Microsoft-Windows-Sysmon/Operational" C:logssysmon_proc.evtx /q:"*[System[(EventID=1)]]"

Wonach suchen

Wenn die Ereignisse einfach zu einem bestimmten Zeitpunkt aufhören, suchen Sie kurz vor der Lücke nach Ereignis 16 oder 4. Überprüfen Sie dann das Systemprotokoll auf den gestoppten Sysmon-Dienst.

In LogTotal hochladen und überprüfen

LogTotal liest EVTX nativ, sodass nichts konvertiert werden muss. Eine Sache, die Sie vorher wissen sollten: LogTotal desinfiziert EVTX-Dateien noch nicht. Behandeln Sie einen EVTX-Upload als Übergabe der rohen Datei. Verwenden Sie es frei für Testmaschinen, aber für Produktionshosts holen Sie sich zuerst eine Zustimmung von demjenigen ein, der für die Datenverarbeitung zuständig ist.

1. Hochladen. Öffnen logtotal.com und legen Sie die Datei ab.
2. Überprüfen. [PROOF: what the results screen shows for Sysmon data, and how findings map to rules and ATT&CK techniques]

Wenn es schiefgeht