Seguir Sysmon escreve em seu próprio canal de log de eventos. No Visualizador de Eventos, é Logs de Aplicativos e Serviços → Microsoft → Windows → Sysmon → Operacional. Na linha de comando, é Microsoft-Windows-Sysmon/Operational, e no disco C:WindowsSystem32winevtLogsMicrosoft-Windows-Sysmon%4Operational.evtx. Para exportá-lo, execute isso em um prompt elevado:
wevtutil epl "Microsoft-Windows-Sysmon/Operational" C:logssysmon.evtx
Se o canal não existir, o Sysmon não está instalado. Em muitas máquinas, ele ainda é uma ferramenta separada do Sysinternals que alguém precisa implantar.
Sysmon é a coisa mais próxima que o Windows possui de um gravador de voo. Ele captura árvores de processos com linhas de comando e hashes completos, conexões de rede por processo, consultas DNS e alterações de arquivos e registros. Prime Core tem 12074 regras Sigma escritas para dados do Sysmon, mapeadas para 645 técnicas do MITRE ATT&CK. Veja como verificar se está executando, exportar o que foi gravado e investigá-lo no LogTotal.
Antes de começar
Está sendo executado? Verifique o serviço:
sc query sysmon64
Em sistemas de 32 bits, o serviço é chamado sysmon. Você quer ESTADO: EXECUTANDO.
O que está sendo gravado? Sysmon registra apenas o que sua configuração determina. Sem um arquivo de configuração, você obtém um conjunto padrão reduzido baseado na criação de processos. A maior parte do valor vem de uma configuração ajustada, como a de SwiftOnSecurity ou a sysmon-modular de Olaf Hartong. Para ver a configuração atual, execute sysmon64 -c (o executável está em C:Windows). Salve essa saída junto a sua exportação. Quem analisar o arquivo perguntará por que não há eventos de rede, e a configuração responderá isso.
Até onde recua? Sysmon é verboso, e seu canal tem um limite de tamanho como qualquer outro log. Execute wevtutil gl “Microsoft-Windows-Sysmon/Operational” e verifique maxSize. Em um servidor ocupado, um log de tamanho padrão pode cobrir surpreendentemente pouco tempo.
Você precisa de um prompt elevado para exportar.
Exportar o log
No Visualizador de Eventos, clique com o botão direito Operacional sob Sysmon e escolha Salvar Todos os Eventos Como…, mantendo o tipo .evtx . Na linha de comando, você pode filtrar enquanto exporta:
:: últimas 24 horas
wevtutil epl "Microsoft-Windows-Sysmon/Operational" C:logssysmon_24h.evtx /q:"*[System[TimeCreated[timediff(@SystemTime) <= 86400000]]]"
:: apenas criação de processo
wevtutil epl "Microsoft-Windows-Sysmon/Operational" C:logssysmon_proc.evtx /q:"*[System[(EventID=1)]]"
O que procurar
| ID do Evento | O que registra | Por que é importante |
|---|---|---|
| 1 | Criação de processo, com linha de comando, hashes e pai | A espinha dorsal de quase toda investigação |
| 3 | Conexão de rede por processo | Frequentemente filtrado nas configurações devido ao volume |
| 10 | Um processo abrindo outro | Acesso ao lsass.exe é o sinal clássico de despejo de credenciais (T1003.001) |
| 11 | Arquivo criado | Payloads deixados, arquivos arquivados |
| 12,13,14 | Mudanças no registro | Chaves de execução e outras persistências |
| 22 | Consulta DNS por processo | Qual processo procurou aquele domínio |
| 4,16 | Estado do serviço Sysmon e configuração alterada | Um atacante desativando o Sysmon ou neutralizando sua configuração |
Se os eventos simplesmente pararem em algum ponto, procure o evento 16 ou 4 logo antes da lacuna. Em seguida, verifique o log do Sistema para o serviço Sysmon sendo interrompido.
Carregue e revise no LogTotal
LogTotal lê EVTX nativamente, então não há nada a converter. Uma coisa a saber antes: LogTotal ainda não higieniza arquivos EVTX. Trate um upload de EVTX como entregar o arquivo bruto. Use-o livremente para máquinas de teste, mas para hosts de produção, obtenha um sim de quem controla o manuseio de dados primeiro.
- Carregar. Abra logtotal.com e soltar o arquivo.
- Revisar. [PROOF: what the results screen shows for Sysmon data, and how findings map to rules and ATT&CK techniques]
Quando algo dá errado
| Sintoma | Causa provável | Fix |
|---|---|---|
| O canal especificado não pôde ser encontrado | Sysmon não está instalado | Verifique com sc query sysmon64 |
| O canal existe, mas contém quase nada | Sem configuração ou uma configuração que filtra quase tudo | Verifique sysmon64 -c |
| Eventos de processo, mas sem eventos de rede | A configuração exclui o evento 3, que é comum | Por design; verifique a configuração antes de assumir que nada aconteceu |
| Os eventos param em algum ponto | Sysmon parado, desinstalado ou reconfigurado | Procure os eventos 4 e 16, e o log do Sistema |
| Só as últimas horas estão lá | O log está cheio e sobrescrevendo | Verifique maxSize; para histórico, use seu SIEM |
| Acesso negado | Prompt não está elevado | Executar como administrador |
FAQ
O Sysmon é instalado por padrão?
Na maioria das máquinas, não. É um download gratuito do Sysinternals que você implanta e configura por conta própria. A Microsoft anunciou o Sysmon embutido para novas versões do Windows, então verifique com o que suas compilações realmente são fornecidas.
O analista precisa da minha configuração do Sysmon?
Não para ler os eventos, mas ela explica as lacunas. Envie a saída do sysmon64 -c junto com a exportação.
Existe Sysmon para Linux?
Sim. Ele grava no syslog em vez de em um canal EVTX; cobriremos isso em um guia separado.
