微软Sysmon日志小软件配置安装说明

什么是Sysmon

Sysmon是由Windows Sysinternals出品的Sysinternals系列中的工具。它以系统服务和设备驱动程序的方法安装在系统上，并保持常驻性，是一款轻量级且强大的安全监控工具，可以监控各类木马外联，进程操作，对于攻击溯源有很大帮助。

下载链接

Sysmon v12.0

https://download.sysinternals.com/files/Sysmon.zip

全套打包

链接：https://pan.baidu.com/s/18HYChjQ8M2nGzLUezBq4tw
提取码：Gy24

安装

下载完成后有三个文件，一般就用64位版Sysmon64.exe

使用powershell命令进行安装 ，这里使用-i 参数进行安装，如图

.\Sysmon64.exe -i

安装完成

使用 -h命令可以查看参数帮助

配置

这里采用外国大佬配置好的配置xml文件
https://github.com/SwiftOnSecurity/sysmon-config

这里我保存位config.xml在安装文件目录下，如图

使用 -c 参数进行配置更新，这样就配置完成了

日志查看

sysmon的日志记录位置
windows事件查看器–应用程序和服务日志–Microsoft–windows–sysmon

日志事件ID解析

此处根据官网翻译而来
以下是Sysmon生成的每种事件类型的示例。

事件ID 1：流程创建
流程创建事件提供有关新创建流程的扩展信息。完整的命令行提供了有关流程执行的上下文。ProcessGUID字段是整个域中此过程的唯一值，以简化事件关联。哈希是文件的完整哈希，其中包含HashType字段中的算法。

事件ID 2：一个进程更改了文件创建时间
当进程显式修改文件创建时间时，将注册更改文件创建时间事件。此事件有助于跟踪文件的实际创建时间。攻击者可能会更改后门的文件创建时间，以使其看起来像与操作系统一起安装。请注意，许多进程会合理地更改文件的创建时间。它不一定表示恶意活动。

事件ID 3：网络连接
网络连接事件记录计算机上的TCP / UDP连接。默认情况下禁用。每个连接都通过ProcessId和ProcessGUID字段链接到流程。该事件还包含源和目标主机名IP地址，端口号和IPv6状态。

事件ID 4：Sysmon服务状态已更改
服务状态更改事件报告Sysmon服务的状态（已启动或已停止）。

事件ID 5：进程终止
进程终止时报告进程终止事件。它提供了进程的UtcTime，ProcessGuid和ProcessId。

事件ID 6：驱动程序已加载
驱动程序加载事件提供有关在系统上加载驱动程序的信息。提供配置的哈希值以及签名信息。出于性能原因，签名是异步创建的，并指示在加载后是否删除了文件。

事件ID 7：图像已加载
图像加载事件记录在特定过程中加载模块的时间。默认情况下，此事件是禁用的，需要使用–l选项进行配置。它指示模块的加载过程，哈希和签名信息。出于性能原因，签名是异步创建的，并指示在加载后是否删除了文件。应仔细配置此事件，因为监视所有图像加载事件将生成大量事件。

事件ID 8：CreateRemoteThread
CreateRemoteThread事件检测一个进程何时在另一个进程中创建线程。恶意软件使用此技术来注入代码并隐藏在其他进程中。该事件指示源和目标进程。它提供了有关将在新线程中运行的代码的信息：StartAddress，StartModule和StartFunction。请注意，将推断StartModule和StartFunction字段，如果起始地址在已加载的模块或已知的导出函数之外，则它们可能为空。

事件ID 9：RawAccessRead
RawAccessRead事件检测进程何时使用\。\表示从驱动器进行读取操作。恶意软件通常使用此技术来对已锁定以供读取的文件进行数据泄漏，并避免使用文件访问审核工具。该事件指示源进程和目标设备。

事件ID 10：ProcessAccess
当一个进程打开另一个进程时，该进程访问事件报告，该操作通常伴随着信息查询或读写目标进程的地址空间。这样可以检测黑客工具，这些工具读取诸如本地安全机构（Lsass.exe）之类的进程的内存内容，以窃取凭据以用于“哈希传递”攻击。如果存在活动的诊断实用程序，这些实用程序会反复打开进程以查询其状态，则启用它可能会产生大量的日志记录，因此通常只应使用删除预期访问的过滤器来启用它。

事件ID 11：FileCreate
创建或覆盖文件时，将记录文件创建操作。该事件对于监视自动启动位置（如启动文件夹）以及临时目录和下载目录很有用，这些位置是恶意软件在初始感染期间掉落的常见位置。

事件ID 12：RegistryEvent（对象创建和删除）
注册表项和值的创建和删除操作映射到此事件类型，这对于监视注册表自动启动位置的更改或特定的恶意软件注册表修改很有用。

Sysmon使用注册表根键名的缩写版本，具有以下映射：

事件ID 12：REGISTRYEVENT（对象创建和删除）
键名 缩写
HKEY_LOCAL_MACHINE HKLM
HKEY_USERS HKU
HKEY_LOCAL_MACHINE \ System \ ControlSet00x HKLM\System\CurrentControlSet
HKEY_LOCAL_MACHINE \ Classes HKCR
事件ID 13：RegistryEvent（值集）
此注册表事件类型标识注册表值修改。该事件记录为DWORD和QWORD类型的注册表值写入的值。

事件ID 14：RegistryEvent（键和值重命名）
注册表键和值重命名操作映射到此事件类型，记录重命名的键或值的新名称。

事件ID 15：FileCreateStreamHash
此事件在创建命名文件流时记录，并生成事件，该事件记录该流所分配到的文件内容（未命名流）以及命名流的内容的哈希。有一些恶意软件变体会通过下载浏览器来删除其可执行文件或配置设置，并且该事件旨在基于基于附加了Zone.Identifier“网络标记”流的浏览器来捕获它们。

事件ID 16：ServiceConfigurationChange
此事件记录Sysmon配置中的更改-例如，更新过滤规则时。

事件ID 17：PipeEvent（已创建管道）
创建命名管道时，将生成此事件。恶意软件通常使用命名管道进行进程间通信。

事件ID 18：PipeEvent（已连接管道）
在客户端和服务器之间建立命名管道连接时，将记录此事件。

事件ID 19：WmiEvent（检测到WmiEventFilter活动）
注册WMI事件筛选器（恶意软件执行该方法）后，此事件将记录WMI名称空间，筛选器名称和筛选器表达式。

事件ID 20：WmiEvent（检测到WmiEventConsumer活动）
此事件记录WMI使用者的注册，记录使用者名称，日志和目的地。

事件ID 21：WmiEvent（检测到WmiEventConsumerToFilter活动）
当使用者绑定到过滤器时，此事件记录使用者名称和过滤器路径。

事件ID 22：DNSEvent（DNS查询）
当进程执行DNS查询时，无论结果是否成功，是否缓存，都会生成此事件。Windows 8.1已添加此事件的遥测，因此在Windows 7和更早版本中不可用。

事件ID 23：FileDelete（检测到文件删除）
文件已删除

事件ID 255：错误
Sysmon中发生错误时，将生成此事件。如果系统负载沉重，某些任务无法执行，或者Sysmon服务中存在错误，则可能发生这种情况。您可以在Sysinternals论坛或Twitter（@markrussinovich）上报告任何错误。

日志可视化

下次更新，国庆节快乐