WindowsでSysmonログを見つける場所とエクスポート方法

Sysmonは自分自身のイベントログチャネルに書き込みます。Event Viewerにおいてそれは Applications and Services Logs → Microsoft → Windows → Sysmon → Operationalです。コマンドラインではMicrosoft-Windows-Sysmon/Operational、ディスクではC:WindowsSystem32winevtLogsMicrosoft-Windows-Sysmon%4Operational.evtxです。これをエクスポートするには、昇格されたプロンプトから次のコマンドを実行します：

wevtutil epl "Microsoft-Windows-Sysmon/Operational" C:logssysmon.evtx

チャネルが存在しない場合、Sysmonはインストールされていません。ほとんどのマシンでは、それは依然として誰かが配備しなければならない別個のSysinternalsツールです。

SysmonはWindowsが持つフライトレコーダーに最も近いものです。プロセスツリーをフルコマンドラインとハッシュで、ネットワーク接続、DNSクエリ、ファイルとレジストリの変更をプロセスごとにキャプチャします。Prime Coreには、Sysmonデータに対して書かれた12074のシグマルールがあり、645のMITRE ATT&CK手法にマッピングされています。ここでは、それが動いているかどうかを確認し、記録された内容をエクスポートし、LogTotalで調査する方法を紹介します。

無料で始める

始める前に

それは動いていますか？ サービスを確認：

sc query sysmon64

32ビットシステムではサービスは sysmonと呼ばれます。求めるのは STATE: RUNNING.

何を記録しているのですか？ Sysmonはその設定が指示する内容のみをログします。構成ファイルがなければ、プロセス作成に基づいて構築された小さなデフォルトセットが得られます。価値の大部分は調整された設定、例えばSwiftOnSecurityのものやOlaf Hartongのsysmon-modularから来ます。現在の設定を確認するには、次を実行します sysmon64 -c （バイナリは C:Windowsにあります）。その出力をエクスポートの隣に保存します。ファイルを分析する人はなぜネットワークイベントがないのかを尋ねるでしょうが、設定がその答えを示します。

どのくらい前までさかのぼることができますか？ Sysmonはおしゃべりです、そしてそのチャネルは他のログと同様にサイズ制限があります。次を実行します wevtutil gl “Microsoft-Windows-Sysmon/Operational” そして maxSizeを確認します。忙しいサーバーでは、デフォルトサイズのログが驚くほど短い時間をカバーすることがあります。

エクスポートするには昇格されたプロンプトが必要です。

ログをエクスポート

Event Viewerで、右クリックしてください Operational Sysmonの下にある すべてのイベントを名前を付けて保存…を選択し、 .evtx タイプを保持します。コマンドラインからは、フィルタを使用してエクスポートすることができます：

:: 最新の24時間

wevtutil epl "Microsoft-Windows-Sysmon/Operational" C:logssysmon_24h.evtx /q:"*[System[TimeCreated[timediff(@SystemTime) <= 86400000]]]"



:: プロセス作成のみ

wevtutil epl "Microsoft-Windows-Sysmon/Operational" C:logssysmon_proc.evtx /q:"*[System[(EventID=1)]]"

探すべきもの

イベントがある時点で単純に止まる場合、ギャップの直前のイベント16または4を探します。それからSystemログでSysmonサービスが停止されたかどうかを確認します。

LogTotalにアップロードしてレビューします

LogTotalはEVTXをネイティブに読めるので、変換の必要はありません。まず知っておくべき1つのこと： LogTotalはまだEVTXファイルをサニタイズしません。 EVTXのアップロードは生のファイルの引き渡しと同じように扱ってください。テストマシンでは自由に使えますが、生産ホストの場合、データを扱う人の承諾をまず得ておいてください。

1. アップロード。 開く logtotal.com そしてファイルをドロップします。
2. レビュー。 [PROOF: what the results screen shows for Sysmon data, and how findings map to rules and ATT&CK techniques]

問題が発生した時