微软轻量级监控工具sysmon原理与实现

最新推荐文章于 2024-08-10 07:58:41 发布
最新推荐文章于 2024-08-10 07:58:41 发布
阅读量7k 收藏 9
点赞数 1
分类专栏： 逆向 文章标签： sysmon edr
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/basketwill/article/details/85257895
版权

Sysmon是微软的一款轻量级的系统监控工具，被常常用来进行入侵检测分析，它通过系统服务和驱动程序实现记录进程创建、文件访问以及网络信息的记录，并把相关的信息写入并展示在windows的日志事件里。经常有安全人员使用这款工具去记录并分析系统进程的活动来识别恶意或者异常活动，下面开始讲解该软件的原理与实现。

         下面开始上篇的讲解，ring3实现对网络数据记录以及对驱动返回的数据进行解析，而驱动部分则返回进程相关的信息以及进程访问文件注册表的数据给 ring3。

          

1. 判断当前操作系统是否是64位，如果是就执行64位的sysmon

 

     

 动态获取IsWow64Process的函数地址，然后调用IsWow64Process函数，判断当前是否是 wow64，如果是就执行SysmonLunchIsAmd64(),进入SysmonLunchIsAmd64函数

image.png

通过GetNativeSystemInfo函数判断当前SystemInfo.wProcessorArchitecture != PROCESSOR_ARCHITECTURE_AMD64 的值

image.png

如果是PROCESSOR_ARCHITECTURE_AMD64则释放资源节中id = 1001的资源到当前进程的所在目录，这是一个内嵌在资源里的 64位版本的sysmon的exe，释放完毕后，就开始执行这个64 的Sysmon。下面就是Symon的64位资源图

image.png

image.png

本文还是主要以32位的sysmon来讲解，我们继续往下讲解

2. 参数的检查 

image.png接下来sysmon 会对参数进行检查，检查是否config、configuration、h、–nologon、？、help，非这些参数后，然后会接着解析具体的参数，根据参数是否加载规则。

image.png我们看SysmonAnalyzeInitArgv 函数具体看看sysmon有哪些参数， 

image.pngg_commandLine里固定存贮所有的 sysmon参数，这里大概只列举出一部分，Install、i、Uninstall、Configuration、c、u、Manifest、m、DebugMode、nologo、AcceptEula、ConfigDefault、HashAlgorithms、NetworkConnect、ImageLoad、l、DriverName、ProcessAccess、CheckRevocation、PipeMonitoring等等。

image.png如果是相应的参数就继续往下执行相应的动作。

image.png通过检测参数sha、sha-1、md5、md-5、sha、sha256、imphash、imp-hash 计算当前使用何种hash算法

image.png

Sha：  1算法、Md5： 2 算法、sha：3算法、imphash：4 算法

接下来会加载内置在exe 内的Sysmonschema.xml

image.png

  image.png

Sysmonschema.xml的configuration规定了一些进程参数的说明，而events描述说明一些记录信息事件，比如

 

 

<event name=”SYSMON_CREATE_PROCESS”value=”1″ level=”Informational” template=”ProcessCreate” rulename=”ProcessCreate” ruledefault=”include”version=”5″>

<data name=”UtcTime” inType=”win:UnicodeString”outType=”xs:string” />

<data name=”ProcessGuid”inType=”win:GUID” />

<data name=”ProcessId”inType=”win:UInt32″ outType=”win:PID” />

<data name=”Image”inType=”win:UnicodeString” outType=”xs:string” />

<data name=”FileVersion”inType=”win:UnicodeString” outType=”xs:string” />

<data name=”Description”inType=”win:UnicodeString” outType=”xs:string” />

<data name=”Product”inType=”win:UnicodeString” outType=”xs:string” />

<data name=”Company”inType=”win:UnicodeString” outType=”xs:string” />

<data name=”CommandLine”inType=”win:UnicodeString” outType=”xs:string” />

<data name=”CurrentDirectory”inType=”win:UnicodeString” outType=”xs:string” />

<data name=”User”inType=”win:UnicodeString” outType=”xs:string” />

<data name=”LogonGuid” inType=”win:GUID”/>

<data name=”LogonId”inType=”win:HexInt64″ />

<data name=”TerminalSessionId”inType=”win:UInt32″ />

<data name=”IntegrityLevel”inType=”win:UnicodeString” outType=”xs:string” />

<data name=”Hashes”inType=”win:UnicodeString” outType=”xs:string” />

<data name=”ParentProcessGuid”inType=”win:GUID” />

<data name=”ParentProcessId”inType=”win:UInt32″ outType=”win:PID” />

<data name=”ParentImage”inType=”win:UnicodeString” outType=”xs:string” />

<data name=”ParentCommandLine”inType=”win:UnicodeString” outType=”xs:string” />

</event>

 

 

就说明了SYSMON_CREATE_PROCESS创建进程上报信息的一些数据内容及说明。

 

如果参数是PrintSchema

image.png
则解析并获取Sysmonschema的version，然后打印Sysmonschema 的信息

 

image.pngimage.png

 

 

3. 注册日志记录事件

image.png

 image.png

 

Sysmon接着会通过EventRegister()函数注册一个GUID为{ 5770385F-C22A-43E0-BF4C-06F5698FFBD9}的日志事件。然后sysmon会通过系统的wevtutil.exe的程序去注册该GUID的系统日志trace类。

image.png

获取系统是否存在Microsoft-Windows-Sysmon的trace类，如果没有就加载exe资源中“SYSMONMAN”的资源到内存，然后释放写入系统临时目录下的文件名MANXXXX.tmp文件里

image.png

该文件是定义{5770385F-C22A-43E0-BF4C-06F5698FFBD9}的Microsoft-Windows-Sysmon的trace事件的provider，用于sysmon的后续数据解析。

image.png

image.png

最后调用系统的”wevtutil.exe imMANXXXX.tmp”去注册安装事件类

 

 image.png

4.     安装minifilter驱动

image.png

释放资源文件为1002的到系统目录Tmp/Sysmon.sys，资源1002文件是个pe文件，实际上是sysmon的文件注册表监控驱动。

image.png

接下来继续就是安装这个驱动

 image.png

image.png

Sysmon还会设置minifilter驱动的Altitude值为385201

image.png

最后开启驱动服务

image.png

 

 

往驱动发送IO控制码：0×8340008（该控制码是给驱动更新配置规则）

image.png

以上过程是大致的安装与启动的过程，接下来就是执行Sysmon服务的SysmonServiceMain例程。

 image.png

image.png

5.数据的获取与解析

接下来开始执行取数据的工作了。

第一步：文件进程注册表的事件监控

image.png

通过发送IO控制码: 0×83400000，打开文件驱动功能，接着sysmon会开启一个线程从驱动获取监控数据，通过发送IO控制码：0×83400004，去反复获取

  image.png

每隔500毫秒发送一次获取数据，堆大小0×400000,获取了数据后，则开始解析这raw data，这个raw数据的首四个字节是表示数据类型

 

 

Typedefstruct_Sysmon_Raw_Data

{

  ULONG DataType;

}Sysmon_Raw_Data;

 

Case 1: 上报进程创建

ReportEventWriteEvent((int)&v147,(unsigned __int16 *)&g_CreateProcess, (int)v1, v17);

Case 2: 文件时间改变

ReportEventWriteEvent((int)&v147,(unsigned __int16 *)&g_CreateFileTime, (int)v1, v30);

Case 3：进程关闭

ReportEventWriteEvent((int)&v147,(unsigned __int16 *)&g_TerminateProcess, (int)v1, 0);

Case 5：加载镜像

ReportEventWriteEvent((int)&v146,&g_ImageLoad, (int)v1, v50);

Case 7：创建远程线程

ReportEventWriteEvent((int)&v146,(unsigned __int16 *)&g_CreateRemoteThread, (int)v1, 0);

Case 8：文件读

ReportEventWriteEvent((int)&v146,(unsigned __int16 *)&g_FileRead, (int)v1, 0);

Case 9：访问进程

ReportEventWriteEvent((int)&v146,(unsigned __int16 *)&g_ProcessAccess, (int)v1, 0);

Case 10：文件创建

ReportEventWriteEvent((int)&v146,(unsigned __int16 *)&g_FileCreate, (int)v1, v32);

Case 11：文件流事件

ReportEventWriteEvent((int)&v146,(unsigned __int16 *)&g_FileStreamCreate, (int)v1, v35);

 

Case 12：注册表相关的事件

image.png

Case 13：管道类事件

image.png

第二步：网络链接事件的监控

Sysmon还会创建一个ETW事件去监控网络连接的访问事件

  image.png

Net Trace 名：L”SYSMON TRACE”;或者使用系统的L”NT Kernel Logger”;

方法参考微软官方实例：https://docs.microsoft.com/en-us/windows/desktop/etw/configuring-and-starting-the-nt-kernel-logger-session

  image.png

事件回调EventCallBack()接受数据

  image.png

在解析数据时使用的是WMI Mof的方法来解析

image.pngimage.png

可以参考微软的官方例子：

https://docs.microsoft.com/en-us/windows/desktop/etw/retrieving-event-data-using-mof

 第三步：接受上报数据写入windows的Application日志

在第二部中我们可以看到通过ReportEventWriteEvent函数上报信息，在ReportEventWriteEvent函数里分两种情况系统API上报

image.png

通过ReportEvent或者EventWrite两个其中一个API上报，而上报的事件IDD 类都是前面我们看到的Sysmon自己注册到系统的里<provider name=”Microsoft-Windows-Sysmon”guid=”{5770385F-C22A-43E0-BF4C-06F5698FFBD9}”symbol=”SYSMON_PROVIDER” resourceFileName=”%filename%”messageFileName=”%filename%”>

                            <events>

的Microsoft-Windows-Sysmon事件代理，这个会生成到windows日志的Application项目下，具体会使用哪个API是根据windows的版本来选择的

image.png

这里可以看到如果操作系统主版本，如果是vista之前的操作系统使用ReportEvent，如果是vista以及以上操作系统则使用EventWrite函数。

Sysmon记录上报了数据源通过注册的WMIEvent的wmi数据持久化过滤事件去过滤不会被记录的事件，我们下面看它如何实现的。

image.png

在之前的服务启动入口有一个函数RegisterWmiEvent，该函数就是注册过滤WmiEvent的函数，我们继续往下看

函数开头会创

image.png建实例IDD_WebCImv，class Id: IID_IWbemLocatorGUID2

<0dc12a687h,0737fh,011cfh,088h,04dh,000h,0aah,000h,04bh,02eh,024h> 

链接”ROOT\\Subscription”的服务

接着创建Stub插口

image.png

g_WMIListenerEvent接口类型是IWbemObjectSink,其定义如下

 

 

MIDL_INTERFACE(“7c857801-7381-11cf-884d-00aa004b2e24″)

IWbemObjectSink :publicIUnknown

 {

public:

virtualHRESULTSTDMETHODCALLTYPEIndicate(

/*[in] */longlObjectCount,

/*[size_is][in] */__RPC__in_ecount_full(lObjectCount) IWbemClassObject **apObjArray)= 0;

 

virtualHRESULTSTDMETHODCALLTYPESetStatus(

/*[in] */longlFlags,

/*[in] */HRESULThResult,

/*[unique][in] */__RPC__in_optBSTRstrParam,

/*[unique][in] */__RPC__in_optIWbemClassObject *pObjParam) =0; 

    };

 

 image.png

然后执行

 

 

“SELECT * FROM__InstanceOperationEventWITHIN 5WHERE TargetInstance ISA ‘__EventConsumer’ ORTar”

                        “getInstance ISA’__EventFilter’ OR TargetInstance ISA ‘__FilterToConsumerBinding’” 

g_WmiSubscriptProxy->lpVtbl->ExecNotificationQueryAsync(

g_WmiSubscriptProxy,

strQueryLanguage,

strQuery,

           128,

           0,

           (IWbemObjectSink*)g_pIWebmObjectSink); 

 

去设置WMiEvent的过滤事件，操作类型是所有操作InstanceOperationEvent，设置三种事件

EventConsumer’、EventFilter’、FilterToConsumerBinding’，查询时间是5秒一次，这样就注册了。

下面我们看g_WMIListenerEvent结构

image.png

过滤事件就是在Indicate()函数中实现，会通过IWbemClassObject**数组的形式输入，函数内会枚举数据，如果是要过滤的数据则循环枚举否则中断枚举。 

 

          至此本篇对sysmon的大致原理流程我们分析完毕，通过对它分析，学习它的实现过程，可以自己完成实现一个sysmon，当然也可以绕过sysmon的监控，这就需要读者自己去研究与发现。

basketwill
关注
专栏目录
精选_Minifilter驱动程序与用户层程序通信_源码打包
03-10
Minifilter驱动程序与用户层程序通信
windows攻防体系-sysmon攻防
yyj173637的博客
04-21 781
Sysmon是微软的一款轻量级系统监控工具，最开始是由Sysinternals开发的，后来Sysinternals被收购，现在属于Sysinternals系列工具。它通过系统服务和驱动程序实现记录进程创建，网络连接以及文件创建时间更改的详细信息，并把相关的信息写入并展示在windows的日志事件里。Sysmon安装后分为用户态两部分，用户态通过实现对网络数据记录，通过。
Sysmon for Linux 使用教程
最新发布
gitblog_00623的博客
08-10 273
Sysmon for Linux 使用教程 SysmonForLinux项目地址:https://gitcode.com/gh_mirrors/sy/SysmonForLinux 项目介绍 Sysmon for Linux 是一个强大的系统监控工具，旨在为 Linux 环境中的进程和活动提供深入的洞察。Sysmon 提供了广泛的日志记录和监控功能，使系统管理员能够确保系统的安全性和完整性。通过跟...
系统监视器(Sysmon)工具的使用
ducc20180301的博客
08-03 4262
一、Sysmon介绍 Sysmon是由Windows Sysinternals出品的一款Sysinternals系列中的工具。系统监视器（Sysmon）是Windows系统服务和设备驱动程序，一旦安装在系统上，便会驻留在系统重新引导期间，以监视系统活动并将其记录到Windows事件日志中。它提供有关进程创建，网络连接以及文件创建时间更改的详细信息。可以使用相关日志收集工具，收集事件并随后对其进行分析，可以识别恶意或异常活动，并了解入侵者和恶意软件如何在您的网络上运行。 Sysmon包括以下功能： 1、
文件系统Minifilter驱动（WDK翻译）技术详解
07-10
文件系统Minifilter驱动（由WDK翻译而来）的技术详解文章，结构性强，通读下来，minifilter各要点内容了然于心了，必须看看
微软轻量级系统监控工具sysmon原理与实现完全分析（上篇）
weixin_33708432的博客
08-22 1112
作者：浪子_三少 Sysmon是微软的一款轻量级的系统监控工具，最开始是由Sysinternals开发的，后来Sysinternals被微软收购，现在属于Sysinternals系列工具。它通过系统服务和驱动程序实现记录进程创建、文件访问以及网络信息的记录，并把相关的信息写入并展示在windows的日志事件里。经常有安全人员使用这款工具去记录并分析系统进...
Sysmon 微软官方免费主机监控工具
04-16
Sysmon是微软官方提供的一款免费的主机监控工具，主要用于系统级别的监控和安全分析。这款工具在IT领域中被广泛应用于安全运维和恶意行为检测，它能够帮助管理员深入了解系统的活动，从而提升系统的安全性。 首先，...
进程分析工具Sysmon.zip
05-28
Sysmon是一款强大的系统监视工具，由著名的安全软件公司Microsoft Security Essentials开发并提供。它主要用于监控和记录系统的活动，包括进程创建、网络连接、文件创建、注册表修改等关键事件，帮助系统管理员和...
微软sysmon使用总结1
08-03
微软sysmon是一款强大的轻量级监控工具，由Windows Sysinternals出品，通过安装在系统上并保持常驻性来监视和记录系统活动。sysmon可以记录到windows事件日志，提供有关进程创建、网络链接和文件创建时间更改的详细...
Windows Sysmon.zip
04-11
Sysmon是一款由微软开发的安全监控工具，为Windows操作系统提供了更强大的安全监控和威胁狩猎功能。通过在系统内核驱动程序中实现高级的行为分析和记录功能，Sysmon可以监控并记录系统内发生的各种事件，包括进程...
微软系统监控工具全集SysinternalsSuite202006.zip
06-16
系统内部故障排除实用程序已被整合到一套工具中。该文件包含各个故障排除工具和帮助文件。它不包含像bsod屏幕保护程序这样的非故障排除工具。该套件捆绑了以下选定的系统内部实用程序: AccessChk, AccessEnum, Ad...
Minifilter过滤驱动与R3程序通讯实现文件保护
qq_18811919的博客
09-07 435
实现保护文件或目录、R3层通过与过滤驱动通讯通知要保护的文件或目录,可执行创建不可删除或修改
驱动管理类的封装
谢绝(无视)留言与私信
06-08 2155
为了代码复用, 将NT驱动和MiniFilter的驱动操作(安装， 卸载， 启动， 停止)进行封装. 工程下载 srcDrvManager_2013_0609.rar 支持NT驱动和MiniFilter驱动的控制 srcDrvManager_2013_0610_1710.rar  增加了Sfilter驱动的控制 测试效果 用起来挺方便~ 测试代码 // srcDr
电脑技巧：电脑状态监控神器TrafficMonitor介绍
IT技术分享社区
02-07 3096
有的时候我们为了解决某些电脑问题，需要监控电脑的实时网速、CPU、内存等的占用情况。功能介绍：使用它可以显示当前网络上传下载速率、CPU利用率、GPU利用率、内存利用率、硬盘利用率、CPU温度、GPU温度、硬盘温度、主板温度，支持嵌入到任务栏显示，支持更换皮肤、历史流量统计等功能。今天小编分享一个电脑状态实时监控小工具——TrafficMonitor，通过它可以实时监控电脑硬件状态、网络状态，感兴趣的小伙伴可以下载试试！另外通过软件的更多选项里，下载安装其他你需要的功能插件，用来满足你的实际使用需求。
【windows内核驱动开发】文件系统微过滤驱动Minifilter——获取进程信息
zcr214的博客
11-28 2325
【我的】文件系统微过滤驱动Minifilter——获取进程信息 作者：zcr214 时间：2016/4/22   在编写文件系统微过滤驱动minifilter的时候，除了绑定指定的磁盘分卷，对于指定的文件很可能还会有指定的应用程序，例如txt文件可以有很多编辑器可以使用，如wordpad，notepad，sublime，vim，notepad+等，doc文档可以使用office word或W
面向Windows的文件透明加解密解决方案（3）——透明加解密驱动程序二
热门推荐
某熊的技术之路
05-31 1万+
3.3关键技术详解 对于用户的文件操作请求，Windows 用户层中对文件的各种操作映射到微过滤驱动中就转化为类型为Create，Read，Write 和Close 等的I/O 操作，因此只要对这些操作的内容进行过滤处理，即可达到透明加解密的目的。首先在IRP_MJ_CREATE 中查询目标文件是否是监控文件类型，创建一个StreamContext 并附着在文件对象上，并在StreamConte
技术向：黑客是怎样监控你所有打开EXE程序的？
Y525698136的博客
03-07 556
如何去准确的监控和收集用户每次点击打开的EXE应用程序信息呢？接下来我就进行还原实现下如何准确的监控并收集用户每次点击打开EXE应用程序技术。
Sysmon工具使用
travelnight的博客
02-19 1万+
Sysmon工具使用 一、Sysmon简介 日常的应急响应中，经常会遇到一些情况。比如远程上去的时候已经没有了现象，又或是恶意流量每隔几个小时就发一两个包，失分头疼。 Sysmon作为强大轻便的监视和记录工具，可以记录系统的各种活动。通过收集系统上发现的事件，可以了解到恶意程序再操作系统上进行了哪些操作。可选择记录网络连接，包括每个连接的源进程、IP 地址、端口号、主机名和端口名。记录注册表和文件的操作记录。 Sysmon同时具有windows版和linux版。 二、事件记录 参考微软官方文档，Sysmo
微软轻量级系统监控工具sysmon内核实现原理
浪子_三少(邮箱:basketwill@qq.com)
12-26 1131
上文讲解了sysmon的ring3部分实现原理，本文则开始讲解ring0部分。Sysmon的ring0是一个minifilter类型的驱动，内部实现了进程信息、文件访问信息以及注册表访问信息的记录，下面开始具体讲解它的实现流程。  一、          驱动DriverEntry的初始化  从DriverEntry(PDRIVER_OBJECTDriverObject, UNICODE_ST...
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值