MSTIC-Sysmon 项目教程

MSTIC-Sysmon 项目教程

MSTIC-Sysmon Anything Sysmon related from the MSTIC R&D team 项目地址: https://gitcode.com/gh_mirrors/ms/MSTIC-Sysmon

1. 项目的目录结构及介绍

MSTIC-Sysmon 项目是一个由微软威胁情报中心（MSTIC）R&D 团队维护的开源项目，主要用于与 Sysmon 相关的研究和开发。项目的目录结构如下：

MSTIC-Sysmon/
├── linux/
│   ├── configs/
│   │   └── main.xml
│   └── ...
├── windows/
│   ├── configs/
│   │   └── main.xml
│   └── ...
├── CODE_OF_CONDUCT.md
├── LICENSE
├── README.md
├── SECURITY.md
└── SUPPORT.md

目录结构介绍

• linux/: 包含与 Linux 系统相关的 Sysmon 配置和工具。
  • configs/: 存放 Linux 系统的 Sysmon 配置文件。
    • main.xml: Linux 系统的主要配置文件。
• windows/: 包含与 Windows 系统相关的 Sysmon 配置和工具。
  • configs/: 存放 Windows 系统的 Sysmon 配置文件。
    • main.xml: Windows 系统的主要配置文件。
• CODE_OF_CONDUCT.md: 项目的行为准则。
• LICENSE: 项目的开源许可证（MIT 许可证）。
• README.md: 项目的介绍和使用说明。
• SECURITY.md: 项目的安全相关信息。
• SUPPORT.md: 项目的支持信息。

2. 项目的启动文件介绍

MSTIC-Sysmon 项目本身并不包含可以直接启动的可执行文件，而是提供了一系列的配置文件和工具，用于与 Sysmon 进行集成和配置。

启动文件介绍

• linux/configs/main.xml: 这是 Linux 系统下的主要配置文件，用于定义 Sysmon 在 Linux 系统上的监控规则和行为。
• windows/configs/main.xml: 这是 Windows 系统下的主要配置文件，用于定义 Sysmon 在 Windows 系统上的监控规则和行为。

3. 项目的配置文件介绍

MSTIC-Sysmon 项目提供了多个配置文件，用于定义 Sysmon 在不同操作系统上的监控规则和行为。以下是主要的配置文件介绍：

配置文件介绍

• linux/configs/main.xml:

  • 用途: 定义 Sysmon 在 Linux 系统上的监控规则。
  • 内容: 包含各种事件过滤器、日志记录规则等。
  • 示例:

    <Sysmon schemaversion="4.70">
        <EventFiltering>
            <ProcessCreate onmatch="exclude">
                <Image condition="end with">sh</Image>
            </ProcessCreate>
        </EventFiltering>
    </Sysmon>
    

• windows/configs/main.xml:

  • 用途: 定义 Sysmon 在 Windows 系统上的监控规则。
  • 内容: 包含各种事件过滤器、日志记录规则等。
  • 示例:

    <Sysmon schemaversion="4.70">
        <EventFiltering>
            <ProcessCreate onmatch="exclude">
                <Image condition="end with">cmd.exe</Image>
            </ProcessCreate>
        </EventFiltering>
    </Sysmon>
    

通过这些配置文件，用户可以根据自己的需求定制 Sysmon 的监控行为，从而更好地满足安全监控的需求。

MSTIC-Sysmon Anything Sysmon related from the MSTIC R&D team 项目地址: https://gitcode.com/gh_mirrors/ms/MSTIC-Sysmon