swiftonsecurity/sysmon-configقالب تكوين Sysmon مُعَلَّق لتتبع أحداث Windows عالي الجودة، وصيد التهديدات، والاستجابة للحوادث. صُمِّم كدليل تعليمي لمراقبة النظام ونقطة انطلاق للتخصيص.
هذا هو قالب ملف تكوين Sysmon من Microsoft Sysinternals مع تتبع الأحداث عالي الجودة الافتراضي.
من المفترض أن يعمل الملف كنقطة بداية رائعة لمراقبة تغييرات النظام في حزمة مكتفية ذاتيًا وسهلة الوصول. يجب أن يعطيك هذا التكوين والنتائج فكرة جيدة عما هو ممكن مع Sysmon. لاحظ أن هذا لا يتتبع أشياء مثل المصادقة وأحداث Windows الأخرى التي تعتبر حيوية أيضًا للتحقيق في الحوادث.
نظرًا لأن كل سطر تقريبًا معلق عليه والأقسام موضحة بشروحات، يجب أن يعمل أيضًا كبرنامج تعليمي لـ Sysmon ودليل لمناطق المراقبة الحرجة في أنظمة Windows.
للحصول على نهج أكثر شمولاً وتفصيلاً لتكوين Sysmon من زاوية مختلفة، راجع أيضًا sysmon-modular بواسطة @olafhartong، والذي يمكن أن يعمل كمجموعة شاملة تفوق sysmon-config.
Sysmon هو مكمل لقدرات تسجيل Windows الأصلية، وليس بديلاً عنها. للحصول على نصائح قيمة حول هذه التكوينات، راجع MalwareArchaeology Logging Cheat Sheets بواسطة @HackerHurricane.
ملاحظة: إن بناء الجملة الدقيق وخيارات التصفية في التكوين متعمدة للغاية فيما تستهدفه، ولها أقل تأثير ممكن على الأداء. قدرات التصفية في Sysmon تختلف عن ميزات تدقيق Windows المضمنة، لذلك غالبًا ما يتم اتباع نهج مختلف عن القائمة الثابتة العادية للمسارات.
شاهد انشقاقات أخرى لهذا التكوين
تشغيل بصلاحيات المسؤول
sysmon.exe -accepteula -i sysmonconfig-export.xml
تشغيل بصلاحيات المسؤول
sysmon.exe -c sysmonconfig-export.xml
تشغيل بصلاحيات المسؤول
sysmon.exe -u
أوصي بشدة باستخدام Notepad++ لتحرير هذا التكوين. فهو يفهم تنسيق السطر الجديد لـ UNIX ويقوم بتمييز بناء XML، مما يجعله مفهومًا جدًا. لا أوصي باستخدام Notepad.exe المدمج.
ستحتاج إلى تثبيت التكوين ومراقبة نتائجه في بيئتك الخاصة قبل نشره على نطاق واسع. على سبيل المثال، ستحتاج إلى استبعاد إجراءات برنامج مكافحة الفيروسات الخاص بك، والتي من المحتمل أن تملأ سجلاتك بمعلومات غير مفيدة.
التكوين معلق بشكل كبير ومصمم ليكون واضحًا بذاته لمساعدتك في هذا التخصيص لبيئتك.
يتوقع هذا التكوين تثبيت البرامج على مستوى النظام وليس في مجلد C:\Users. تقوم العديد من البرامج بتثبيت نفسها في أدلة المستخدمين، والتي تخضع لمراقبة إضافية. حيثما أمكن، يجب تثبيت الإصدار على مستوى النظام من هذه البرامج، مثل Chrome. راجع ملف التكوين لمزيد من التعليمات.