Śledź Sysmon zapisuje do własnego kanału dziennika zdarzeń. W Podglądzie zdarzeń to Dzienniki aplikacji i usług → Microsoft → Windows → Sysmon → Operacyjny. W wierszu poleceń to Microsoft-Windows-Sysmon/Operational, a na dysku C:WindowsSystem32winevtLogsMicrosoft-Windows-Sysmon%4Operational.evtx. Aby go wyeksportować, uruchom to z podniesionymi uprawnieniami:
wevtutil epl "Microsoft-Windows-Sysmon/Operational" C:logssysmon.evtx
Jeśli kanał nie istnieje, Sysmon nie jest zainstalowany. Na większości maszyn to nadal oddzielne narzędzie Sysinternals, które ktoś musi wdrożyć.
Sysmon to najbliższe narzędzie, jakie Windows ma do rejestratora lotów. Rejestruje drzewa procesów z pełnymi wierszami poleceń i hashami, połączenia sieciowe na proces, zapytania DNS i zmiany w plikach i rejestrze. Prime Core ma 12074 reguły sigma napisane dla danych Sysmon, zmapowane na 645 technik MITRE ATT&CK. Oto jak sprawdzić jego działanie, wyeksportować zarejestrowane dane i zbadać je w LogTotal.
Zanim zaczniesz
Czy działa? Sprawdź usługę:
sc query sysmon64
Na systemach 32-bitowych usługa nazywa się sysmon. Chcesz STAN: URUCHOMIONY.
Co zapisuje? Sysmon rejestruje tylko to, co określa jego konfiguracja. Bez pliku konfiguracyjnego uzyskasz mały domyślny zestaw zbudowany wokół tworzenia procesów. Większość wartości pochodzi z dostrojonej konfiguracji, takiej jak ta z SwiftOnSecurity lub sysmon-modular Olafa Hartonga. Aby zobaczyć bieżącą, uruchom sysmon64 -c (pliki binarne znajdują się w C:Windows). Zapisz wyjście obok eksportu. Ktokolwiek analizuje plik, zapyta, dlaczego nie ma zdarzeń sieciowych, a konfiguracja to wyjaśnia.
Jak daleko sięga? Sysmon jest rozmowny, a jego kanał ma limit wielkości jak każdy inny dziennik. Uruchom wevtutil gl „Microsoft-Windows-Sysmon/Operational” i sprawdź maksymalny rozmiar. Na zapracowanym serwerze dziennik o domyślnym rozmiarze może obejmować zaskakująco mało czasu.
Do eksportu potrzebny jest podniesiony wiersz poleceń.
Eksportuj dziennik
W Podglądzie zdarzeń, kliknij prawym przyciskiem myszy Operacyjny pod Sysmon i wybierz Zapisz wszystkie zdarzenia jako…, zachowując typ .evtx Z wiersza polecenia możesz filtrować podczas eksportu:
:: ostatnie 24 godziny
wevtutil epl "Microsoft-Windows-Sysmon/Operational" C:logssysmon_24h.evtx /q:"*[System[TimeCreated[timediff(@SystemTime) <= 86400000]]]"
:: tylko tworzenie procesów
wevtutil epl "Microsoft-Windows-Sysmon/Operational" C:logssysmon_proc.evtx /q:"*[System[(EventID=1)]]"
Co sprawdzać
| Identyfikator zdarzenia | Co rejestruje | Dlaczego się tym przejmować |
|---|---|---|
| 1 | Tworzenie procesów z wierszem poleceń, hashami i nadrzędnym procesem | Kręgosłup prawie każdego dochodzenia |
| 3 | Połączenie sieciowe na proces | Często filtrowane w konfiguracjach z powodu dużej ilości |
| 10 | Jeden proces otwierający inny | Dostęp do lsass.exe to klasyczny sygnał zrzucania poświadczeń (T1003.001) |
| 11 | Utworzony plik | Upuszczone ładunki, archiwa wstępne |
| 12,13,14 | Zmiany w rejestrze | Klucze uruchamiania i inne formy utracenia |
| 22 | Zapytanie DNS przez proces | Który proces wyszukał tę domenę |
| 4,16 | Stan usługi Sysmon i zmiany konfiguracji | Haker wyłączający Sysmon lub osłabiający jego konfigurację |
Jeśli zdarzenia po prostu zatrzymują się w pewnym momencie, szukaj zdarzenia 16 lub 4 tuż przed luką. Następnie sprawdź dziennik systemowy dla zatrzymania usługi Sysmon.
Prześlij i przejrzyj w LogTotal
LogTotal czyta pliki EVTX natywnie, więc nie trzeba ich konwertować. Jedna rzecz, którą warto wiedzieć najpierw: LogTotal nie oczyszcza jeszcze plików EVTX. Traktuj przesyłanie EVTX jak przekazywanie surowego pliku. Używaj go swobodnie na maszynach testowych, ale dla urządzeń produkcyjnych uzyskaj zgodę od osoby odpowiedzialnej za przetwarzanie danych.
- Prześlij. Otwórz logtotal.com i wrzuć plik.
- Przejrzyj. [PROOF: what the results screen shows for Sysmon data, and how findings map to rules and ATT&CK techniques]
Gdy coś pójdzie nie tak
| Objaw | Prawdopodobna przyczyna | Fix |
|---|---|---|
| Nie znaleziono określonego kanału | Sysmon nie jest zainstalowany | Sprawdź za pomocą sc query sysmon64 |
| Kanał istnieje, ale zawiera prawie nic | Brak konfiguracji lub konfiguracja filtru prawie wszystkiego | Sprawdź sysmon64 -c |
| Zdarzenia procesów, ale brak zdarzeń sieci | Konfiguracja wyklucza zdarzenie 3, co jest powszechne | Zgodnie z założeniem; sprawdź konfigurację przed założeniem, że nic się nie wydarzyło |
| Zdarzenia zatrzymują się w pewnym momencie | Sysmon zatrzymał się, został odinstalowany lub przekonfigurowany | Szukaj zdarzeń 4 i 16 oraz dziennika System |
| Są tam tylko ostatnie kilka godzin | Dziennik jest pełny i nadpisuje się | Sprawdź maksymalny rozmiar; w celu uzyskania historii użyj swojego SIEM |
| Odmowa dostępu | Wiersz poleceń nie jest podniesiony | Uruchom jako administrator |
FAQ
Czy Sysmon jest zainstalowany domyślnie?
Na większości maszyn nie. Jest to darmowy pobieranie z Sysinternals, które musisz samodzielnie wdrożyć i skonfigurować. Microsoft ogłosił wbudowany Sysmon dla nowszych wersji Windowsa, więc sprawdź, co faktycznie zawierają twoje wersje.
Czy analityk potrzebuje mojej konfiguracji Sysmon?
Nie do odczytania zdarzeń, ale wyjaśnia to luki. Wyślij zawartość sysmon64 -c wraz z eksportem.
Czy istnieje Sysmon dla Linuxa?
Tak. Zapisuje w syslog zamiast kanału EVTX; omówimy to w oddzielnym przewodniku.
