基于Sysmon初步实现主机侧入侵检测的监控思路

0x0 背景

Sysmon是由Windows Sysinternals出品的一款Sysinternals系列中的工具。一旦安装在系统上，便会驻留在系统重新引导期间，以监视系统活动并将其记录到Windows事件日志中。它可以提供有关进程创建，网络连接以及文件创建时间更改的详细信息。可以使用相关日志收集工具，收集事件并随后对其进行分析，可以识别恶意或异常活动；

相对于当前很多传统的Anti-Virus的产品此工具比较适合应急响应人员、企事业单位内部的安全研究人员用于重点监测服务器疑似存在的攻击，尤其是当前大量无文件攻击、hands on keyboard的攻击模式日益普及的背景下；流量侧的安全产品普遍能够审计到原始的访问日志、攻击日志、告警日志，部分安全产品甚至能做到全流量的cap包数据采集；但是终端层的行为数据目前稍微比较欠缺，仅有的防病毒产品普遍仅支持恶意文件的监控与识别，很难做到系统行为的全量采集；sysmon在当前日益重视终端安全的背景下得到了大量的关注与应用；

0x1 安装

微软官方提供了下载的路径:

Sysmon - Windows Sysinternals | Microsoft Docs

主要的安装命令如下：

Sysmon -i  #基本安装
Sysmon -accepteula -i xxxx.xml #通过配置安装
Sysmon -c xxxx.xml #更新配置
Sysmon -u #卸载

<