sysmon-modular | Ein Sysmon-Konfigurationsrepository zur individuellen Anpassung

Sysmon Modular ist ein Konfigurationsrepository für Microsoft Sysinternals Sysmon. Kleine XML-Module erleichtern die Auswahl, Überprüfung und Pflege der Telemetrie, die für Ihre Organisation nützlich ist. Das Go-Tool sysmon-modular erstellt Konfigurationen aus diesen Modulen und hilft bei deren Validierung, Analyse und Vergleich.

Jede Konfiguration ist ein Ausgangspunkt. Überprüfen und optimieren Sie sie für Ihre Anwendungen, Endpunktrollen, Erkennungsanforderungen und Ihr Logging-Budget, bevor Sie sie breitflächig einsetzen. Verwenden Sie eine überschaubare Anzahl von Profilen für Workstations, Server und Domänencontroller und messen Sie deren Verhalten auf repräsentativen Maschinen.

Dieses Projekt wäre ohne SwiftOnSecuritys ursprüngliche Konfiguration nicht möglich gewesen, die Sysmon Modular inspiriert hat und weiterhin Teil seiner Grundlage ist.

Inhalt

• Vorgefertigte Konfigurationen
• Die Tooling beziehen
• Eine Konfiguration generieren
• Validieren, analysieren und vergleichen
• Module aus KQL und MDE generieren
• Verwendung
• CI/CD und Releases
• Dokumentation
• Mitwirken
• Sysmon-Community
• Weitere Informationen

Vorgefertigte Konfigurationen

Laden Sie die regulären Startkonfigurationen aus dem neuesten GitHub-Release herunter. Diese konsolidierten XML-Dateien werden aus den Quellmodulen generiert und als Release-Assets verteilt, anstatt im Repository gespeichert zu werden.

Profil	Download	Erfassungsziel
Balanced	sysmonconfig.xml	Die reguläre Startkonfiguration, ohne FileDelete-Archivierung.
Balanced mit FileDelete	sysmonconfig-with-filedelete.xml	Fügt FileDelete-Erfassung und Dateiarchivierung hinzu. Berücksichtigen Sie den Speicherplatzbedarf des Archivs.
Nur Ausschlüsse	sysmonconfig-excludes-only.xml	Ein sehr ausführliches Profil, das aus Ausschlussmodulen aufgebaut ist. Rechnen Sie mit erheblichem Ereignisvolumen und optimieren Sie es vor dem Produktiveinsatz.

Alle drei Profile werden für Sysmon 15.21, 14.16, 13.34 und 12.03 generiert. Versionierte Dateinamen enthalten das Ziel, wie z. B. sysmonconfig-14.16.xml; die oben genannten nicht versionierten Namen sind Aliase für 15.21. Wählen Sie die Version, die auf Ihren Endpunkten installiert ist. Für kontrollierte Rollouts binden Sie ein bestimmtes Release fest, anstatt automatisch latest bereitzustellen.

Zwei Profile bleiben als separate Beispiele im Repository:

• Forschungskonfiguration: extrem ausführliche Sammlung für kurze, kontrollierte Forschungssitzungen. Sie kann erhebliche CPU-, Speicher- und Protokollierungskapazität beanspruchen; laden Sie eine leichtere Konfiguration, wenn die Untersuchung abgeschlossen ist.
• MDE-augment-Konfiguration: ausgewählte Sammlung, die Microsoft Defender for Endpoint mit weniger Überschneidung ergänzen soll. Sie aktiviert nicht jedes Sysmon-Ereignis. Siehe den MDE-augment-Generierungsleitfaden, um die Ausschlussliste neu zu erstellen und zu überprüfen.

Das Release enthält außerdem vorgefertigte Tools, eine ATT&CK-Navigator-Ebene, die aus der ausgewogenen 15.21-Konfiguration abgeleitet wurde, und ein SHA256SUMS-Manifest.

Die Tooling beziehen

Die Go-CLI ist der unterstützte Generator. Die Beispiele in dieser README werden vom Repository-Stammverzeichnis aus ausgeführt und verwenden eine Binärdatei, die in tooling gespeichert ist. Beginnen Sie mit einem lokalen Checkout, wenn Sie Konfigurationen aus den Quellmodulen generieren möchten:

git clone https://github.com/olafhartong/sysmon-modular.git
cd sysmon-modular

Vorkompilierte Binärdateien

Laden Sie die Binärdatei für Ihr Betriebssystem und Ihre Architektur von GitHub Releases herunter. Go ist für die Verwendung dieser Binärdateien nicht erforderlich.

System	Release-Asset
Windows x64	sysmon-modular-windows-amd64.exe
Windows ARM64	sysmon-modular-windows-arm64.exe
Linux x64	sysmon-modular-linux-amd64
Linux ARM64	sysmon-modular-linux-arm64
macOS Intel	sysmon-modular-darwin-amd64
macOS Apple silicon	sysmon-modular-darwin-arm64

Speichern Sie den Download als tooling/sysmon-modular oder unter Windows als tooling/sysmon-modular.exe. Unter Linux und macOS machen Sie die Datei einmalig ausführbar:

chmod +x tooling/sysmon-modular

Build

Der Build aus dem Quellcode erfordert Go 1.22 oder neuer und verwendet ausschließlich die Go-Standardbibliothek.

Vom Repository-Stammverzeichnis unter Linux oder macOS aus:

go -C tooling build -o "$PWD/tooling/sysmon-modular" ./cmd/sysmon-modular

Aus PowerShell unter Windows:

go -C tooling build -o "$PWD\tooling\sysmon-modular.exe" ./cmd/sysmon-modular

Du kannst Befehle auch direkt mit Go ausführen. Zum Beispiel:

go -C tooling run ./cmd/sysmon-modular --version

go -C tooling run führt das Programm aus dem Verzeichnis tooling aus. Verwenden Sie absolute Pfade, wenn Sie Beispiele aus dem Repository-Stamm an diese Form anpassen, oder folgen Sie den tooling-relativen Beispielen in der Befehlsreferenz.

Version und Hilfe

Das Tooling startet mit der Build-Version 1.0:

./tooling/sysmon-modular --version
./tooling/sysmon-modular help
./tooling/sysmon-modular merge --help

version und --version geben sysmon-modular 1.0 aus. Die Build-Version erscheint auch in der Top-Level- und befehlsspezifischen Hilfe. Sie identifiziert das Tooling; --sysmon-version wählt stattdessen die Ziel-Sysmon-Executable aus.