SysmonConfigPusher v2

Ein webbasiertes Tool zur Verwaltung von Sysmon-Konfigurationen auf Windows-Endpunkten – unterstützt sowohl agentenlose (WMI/SMB) als auch agentenbasierte Bereitstellungen.

Funktionen

Screenshots

Dashboard	Inventory

Config View	Config Editor

Deployment Wizard	Deployment Progress

Schedule Deployments	Noise Analysis

Schnellstart

Option 1: MSI-Installer (Windows Server)

Laden Sie die neueste SysmonConfigPusher.msi herunter
Führen Sie das Installationsprogramm als Administrator aus
Konfigurieren Sie ein Domänendienstkonto (siehe Dokumentation)
Starten Sie den Dienst und greifen Sie auf die Web-Benutzeroberfläche zu (Standardport: 5001, konfigurierbar in appsettings.json)

Option 2: Docker (nur Agenten-Modus)

docker run -d --name sysmonpusher \
  -p 5001:5001 \
  -v sysmonpusher-data:/data \
  -e API_KEY_ADMIN="your-admin-key" \
  -e AGENT_TOKEN="your-agent-token" \
  ghcr.io/antonlovesdnb/sysmonconfigpusher2:latest

Greifen Sie auf die Benutzeroberfläche unter https://localhost:5001 zu (Selbstsigniertes Zertifikat-Warnung zu erwarten).

Siehe Docker-Anleitung für vollständige Konfigurationsoptionen.

Option 3: Aus dem Quellcode erstellen

Siehe Entwicklungsanleitung für das Erstellen und Ausführen vor Ort.

Dokumentation

Anforderungen

Vollmodus (Windows Server)

Server: Windows Server 2016+ (der Domäne beigetreten)
Dienstkonto: Domänenkonto mit lokalen Administratorrechten auf den Zielendpunkten
Netzwerkports: TCP 135 (WMI), 445 (SMB), 49152-65535 (RPC dynamisch)

Nur-Agenten-Modus (Docker/Linux)

Server: Jede Plattform mit Docker oder Linux
Agenten: Windows-Endpunkte mit installiertem Agenten (Agenten-Anleitung)
Netzwerk: Agenten verbinden sich ausgehend mit dem Server über HTTPS (Port 5000/5001)

Siehe Bereitstellungsmodi für einen detaillierten Vergleich.

Architektur

┌─────────────────────────────────────────────────────────────────────┐
│                          Web Browser                                │
│              (Windows Auth or API Key Authentication)               │
└─────────────────────────────┬───────────────────────────────────────┘
                              │ HTTPS
                              ▼
┌─────────────────────────────────────────────────────────────────────┐
│                    SysmonConfigPusher Server                        │
│                (Windows Service or Docker Container)                │
│                                                                     │
│  ┌─────────────┐  ┌──────────────┐  ┌────────────────────────────┐  │
│  │  REST API   │  │ SignalR Hub  │  │  Background Workers        │  │
│  │  (Configs,  │  │ (Real-time   │  │  (Deployments, Scans,      │  │
│  │  Deploy)    │  │  Progress)   │  │   Scheduled Jobs)          │  │
│  └─────────────┘  └──────────────┘  └────────────────────────────┘  │
│  ┌────────────────────────────────────────────────────────────────┐ │
│  │                    SQLite Database                             │ │
│  │    (Configs, Inventory, Deployments, Audit Log)                │ │
│  └────────────────────────────────────────────────────────────────┘ │
└───────────────────┬─────────────────────────────┬───────────────────┘
                    │                             │
        WMI + SMB   │                             │  HTTPS (Agent API)
      (Full Mode)   │                             │  (Agent-Only Mode)
                    ▼                             ▼
┌───────────────────────────────┐   ┌───────────────────────────────┐
│     Domain Endpoints          │   │     Cloud/DMZ Endpoints       │
│        (Agentless)            │   │      (Lightweight Agent)      │
│                               │   │                               │
│  • Direct WMI execution       │   │  • Agent polls for commands   │
│  • SMB file transfer          │   │  • Outbound HTTPS only        │
│  • Remote event log queries   │   │  • No inbound ports needed    │
└───────────────────────────────┘   └───────────────────────────────┘

Technologie-Stack

Laborumgebung

Möchten Sie dies in einer Laborumgebung ausprobieren? Schauen Sie sich das Constructing Defense Lab an!

Beitragen

Beiträge sind willkommen! Reichen Sie jederzeit einen Pull-Request ein.

Lizenz

Dieses Projekt ist unter der MIT-Lizenz lizenziert – siehe die LICENSE-Datei für Details.

Danksagungen

Dies ist eine Modernisierung der ursprünglichen WPF-Anwendung SysmonConfigPusher.

Agentenlose Bereitstellung	Sysmon-Binärdateien und Konfigurationen per WMI und SMB übertragen
Agentenunterstützung	Leichter Agent für Cloud-VMs und DMZ-Server
Docker-Unterstützung	Auf Linux/Docker für reine Agentenbereitstellungen ausführen
Web-Oberfläche	Moderne React-Benutzeroberfläche mit Echtzeit-Bereitstellungsfortschritt
Ereignisprotokoll-Viewer	Sysmon-Protokolle von entfernten Hosts abfragen
Rauschanalyse	Ereignisse mit hohem Volumen identifizieren, um Konfigurationen anzupassen
Geplante Bereitstellungen	Bereitstellungen für die zukünftige Ausführung planen
Flexible Authentifizierung	Windows-integrierte Authentifizierung oder API-Schlüssel

Installationsanleitung	Produktionsbereitstellung auf Windows Server
Benutzungsanleitung	Verwendung der Anwendung, Konfigurations-Tagging (SCPTAG)
Agenten-Anleitung	Bereitstellung und Verwaltung des leichten Agenten
Docker-Anleitung	Container-Bereitstellung, Sicherung und Wiederherstellung
Zertifikatsanleitung	TLS-Konfiguration für Server und Agenten
Bereitstellungsmodi	Vergleich zwischen Voll- und Nur-Agenten-Modus
Entwicklungsanleitung	Erstellung aus dem Quellcode, lokale Ausführung

Backend	ASP.NET Core 8, Entity Framework Core, SQLite
Frontend	React 18, TypeScript, Tailwind CSS, Vite
Echtzeit	SignalR WebSockets
Bereitstellung	Windows Service, Docker, MSI Installer (WiX)
Agent	.NET 8 self-contained Windows Service

SysmonConfigPusher2

Beliebteste