TrustedSec Sysmon Community-Leitfaden

Dieses Werk ist lizenziert unter einer Creative Commons Attribution-ShareAlike 4.0 International License; bitte geben Sie TrustedSec LLC als Urheber an.

Sie dürfen:

Teilen — das Material in jedem Medium oder Format vervielfältigen und weiterverbreiten.

Bearbeiten — das Material remixen, verändern und darauf aufbauen.

Die Autoren ermutigen Sie, diese Inhalte so weit wie möglich weiterzuverbreiten, verlangen jedoch, dass Sie die unten genannten Hauptautoren nennen und uns auf GitHub über etwaige Verbesserungen informieren.

Inhaltsverzeichnis

• Was ist Sysmon

• Sysmon unter Windows

  • Der Sysmon-Treiber

  • Installation und Konfiguration

• Sysmon unter Linux

  • sysinternalsEBPF

  • Installation und Konfiguration

• Konfiguration

• Grundlagen des Detection Engineering

• Sysmon-Ereignisse

  • Prozessereignisse

    • Prozesserstellung

    • Prozessbeendigung

    • Prozesszugriff

  • Dateiereignisse

    • Dateierstellung

    • Änderung des Dateierstellungszeitpunkts

    • Hash der Dateistream-Erstellung

    • Dateilöschung

    • Dateilöschung erkannt

    • EXE-Dateiblockierung

    • Datei-Schredder-Blockierung

  • Benannte Pipes

  • Treiberladung

  • Registrierungsaktionen

  • Image-Laden

  • Netzwerkverbindungen

  • Remote-Thread erstellen

  • Roher Lesezugriff

  • DNS-Abfrage

  • WMI-Ereignisse

  • Zwischenablage-Erfassung

  • Prozess-Image-Manipulation

Aktueller Stand:

Microsoft Sysinternals Sysmon ist eine sich ständig ändernde Software von Microsoft, die den Benutzern kostenlos zur Verfügung gestellt wird. Daher wird sie laufend aktualisiert und mit neuen Funktionen erweitert. In Bezug auf Konfigurationen versucht dieser Leitfaden so offen wie möglich zu sein, da jede Umgebung einzigartig ist und die Empfehlungen so weit wie möglich auf diesen Einschränkungen basieren. Der Leitfaden ist als Open Source angelegt, damit die Community mit der Weiterentwicklung von Sysmon zur Erweiterung und Pflege des Leitfadens beiträgt.

Mitwirken

Bitte nutzen Sie das Issues-System oder GitHub-Pull-Requests, um Korrekturen, Beiträge und andere Änderungen am Text vorzunehmen – wir freuen uns über Ihre Beiträge!

Danksagungen

Dieser Leitfaden wurde von Carlos Perez von TrustedSec LLC geschrieben, gepflegt und bearbeitet.

• Copyright 2025 © TrustedSec LLC.