olafhartong/sysmon-modularUn repositorio de módulos de configuración de sysmon
Sysmon Modular es un repositorio de configuración para Microsoft Sysinternals Sysmon. Los pequeños módulos XML facilitan la selección, revisión y mantenimiento de la telemetría que resulta útil para tu organización. La herramienta Go sysmon-modular construye configuraciones a partir de esos módulos y ayuda a validarlas, analizarlas y compararlas.
Toda configuración es un punto de partida. Revísala y ajústala según tus aplicaciones, roles de endpoint, necesidades de detección y presupuesto de registro antes de desplegarla ampliamente. Utiliza un conjunto manejable de perfiles para estaciones de trabajo, servidores y controladores de dominio, y mide su comportamiento en máquinas representativas.
Este proyecto no habría sido posible sin la configuración original de SwiftOnSecurity, que inspiró Sysmon Modular y sigue formando parte de su base.
Descarga las configuraciones iniciales habituales desde la última release de GitHub. Estos archivos XML consolidados se generan a partir de los módulos fuente y se distribuyen como recursos de la release en lugar de almacenarse en el repositorio.
| Perfil | Descarga | Objetivo de recolección |
|---|---|---|
| Balanced | sysmonconfig.xml | La configuración inicial habitual, sin archivado de FileDelete. |
| Balanced con FileDelete | sysmonconfig-with-filedelete.xml | Añade la recolección de FileDelete y el archivado de archivos. Ten en cuenta los requisitos de disco del archivo. |
| Solo exclusiones | sysmonconfig-excludes-only.xml | Un perfil muy verboso construido a partir de módulos de exclusión. Espera un volumen de eventos sustancial y ajústalo antes de usarlo en producción. |
Los tres perfiles se generan para Sysmon 15.21, 14.16, 13.34 y 12.03. Los nombres de archivo versionados incluyen el destino, como sysmonconfig-14.16.xml; los nombres sin versión anteriores son alias para 15.21. Selecciona la versión instalada en tus endpoints. Para despliegues controlados, fija una release específica en lugar de desplegar automáticamente latest.
Dos perfiles permanecen como ejemplos separados en el repositorio:
La versión también incluye herramientas precompiladas, una capa de ATT&CK Navigator derivada de la configuración equilibrada 15.21, y un manifiesto SHA256SUMS.
La CLI de Go es el generador compatible. Los ejemplos de este README se ejecutan desde la raíz del repositorio y utilizan un binario guardado en tooling. Comience con una copia local si desea generar configuraciones a partir de los módulos fuente:
git clone https://github.com/olafhartong/sysmon-modular.git
cd sysmon-modular
Descarga el binario para tu sistema operativo y arquitectura desde GitHub Releases. No se requiere Go para usar estos binarios.
| Sistema | Recurso de la versión |
|---|---|
| Windows x64 | sysmon-modular-windows-amd64.exe |
| Windows ARM64 | sysmon-modular-windows-arm64.exe |
| Linux x64 | sysmon-modular-linux-amd64 |
| Linux ARM64 | sysmon-modular-linux-arm64 |
| macOS Intel | sysmon-modular-darwin-amd64 |
| macOS Apple silicon | sysmon-modular-darwin-arm64 |
Guarda la descarga como tooling/sysmon-modular, o tooling/sysmon-modular.exe en Windows. En Linux y macOS, hazlo ejecutable una vez:
chmod +x tooling/sysmon-modular
Compilar desde el código fuente requiere Go 1.22 o superior y utiliza únicamente la biblioteca estándar de Go.
Desde la raíz del repositorio en Linux o macOS:
go -C tooling build -o "$PWD/tooling/sysmon-modular" ./cmd/sysmon-modular
Desde PowerShell en Windows:
go -C tooling build -o "$PWD\tooling\sysmon-modular.exe" ./cmd/sysmon-modular
También puedes ejecutar comandos directamente con Go. Por ejemplo:
go -C tooling run ./cmd/sysmon-modular --version
go -C tooling run ejecuta el programa desde el directorio tooling. Usa rutas absolutas al adaptar los ejemplos de la raíz del repositorio a esa forma, o sigue los ejemplos relativos a tooling en la referencia de comandos.
La herramienta comienza en la versión de compilación 1.0:
./tooling/sysmon-modular --version
./tooling/sysmon-modular help
./tooling/sysmon-modular merge --help
version y --version imprimen sysmon-modular 1.0. La versión de compilación también aparece en la ayuda de nivel superior y en la ayuda específica de cada comando. Identifica las herramientas; --sysmon-version selecciona en su lugar el ejecutable de Sysmon de destino.
El valor predeterminado se define en version.go. Las compilaciones locales y de lanzamiento lo incluyen automáticamente. Para sobrescribirlo en una compilación concreta: