olafhartong/sysmon-modularUn référentiel de modules de configuration sysmon
Sysmon Modular est un dépôt de configuration pour Microsoft Sysinternals Sysmon. De petits modules XML facilitent la sélection, la revue et la maintenance de la télémétrie utile à votre organisation. L'outil Go sysmon-modular construit des configurations à partir de ces modules et aide à les valider, les analyser et les comparer.
Chaque configuration est un point de départ. Révisez-la et ajustez-la en fonction de vos applications, des rôles de vos postes, de vos besoins de détection et de votre budget de journalisation avant de la déployer largement. Utilisez un ensemble gérable de profils pour les postes de travail, les serveurs et les contrôleurs de domaine, et mesurez leur comportement sur des machines représentatives.
Ce projet n'aurait pas été possible sans la configuration originale de SwiftOnSecurity, qui a inspiré Sysmon Modular et reste l'une de ses fondations.
Téléchargez les configurations de départ habituelles depuis la dernière version GitHub. Ces fichiers XML consolidés sont générés à partir des modules sources et distribués comme ressources de version plutôt que stockés dans le dépôt.
| Profil | Téléchargement | Objectif de collecte |
|---|---|---|
| Équilibré | sysmonconfig.xml | La configuration de départ habituelle, sans archivage FileDelete. |
| Équilibré avec FileDelete | sysmonconfig-with-filedelete.xml | Ajoute la collecte FileDelete et l'archivage de fichiers. Tenez compte des besoins en espace disque de l'archive. |
| Exclusions uniquement | sysmonconfig-excludes-only.xml | Un profil très verbeux construit à partir de modules d'exclusion. Attendez-vous à un volume d'événements important et ajustez avant toute utilisation en production. |
Les trois profils sont générés pour Sysmon 15.21, 14.16, 13.34 et 12.03. Les noms de fichiers versionnés incluent la cible, par exemple sysmonconfig-14.16.xml ; les noms non versionnés ci-dessus sont des alias pour 15.21. Sélectionnez la version installée sur vos postes. Pour des déploiements contrôlés, épinglez une version spécifique plutôt que de déployer automatiquement latest.
Deux profils restent des exemples distincts dans le dépôt :
La release inclut également des outils précompilés, une couche ATT&CK Navigator dérivée de la configuration équilibrée 15.21, et un manifeste SHA256SUMS.
Le CLI Go est le générateur pris en charge. Les exemples de ce README s'exécutent depuis la racine du dépôt et utilisent un binaire enregistré dans tooling. Commencez par une copie locale si vous souhaitez générer des configurations à partir des modules sources :
git clone https://github.com/olafhartong/sysmon-modular.git
cd sysmon-modular
Téléchargez le binaire correspondant à votre système d'exploitation et à votre architecture depuis GitHub Releases. Go n'est pas requis pour utiliser ces binaires.
| Système | Ressource de version |
|---|---|
| Windows x64 | sysmon-modular-windows-amd64.exe |
| Windows ARM64 | sysmon-modular-windows-arm64.exe |
| Linux x64 | sysmon-modular-linux-amd64 |
| Linux ARM64 | sysmon-modular-linux-arm64 |
| macOS Intel | sysmon-modular-darwin-amd64 |
| macOS Apple silicon | sysmon-modular-darwin-arm64 |
Enregistrez le téléchargement sous tooling/sysmon-modular, ou tooling/sysmon-modular.exe sous Windows. Sous Linux et macOS, rendez-le exécutable une fois :
chmod +x tooling/sysmon-modular
La compilation depuis les sources nécessite Go 1.22 ou une version plus récente et n'utilise que la bibliothèque standard de Go.
Depuis la racine du dépôt sous Linux ou macOS :
go -C tooling build -o "$PWD/tooling/sysmon-modular" ./cmd/sysmon-modular
Depuis PowerShell sur Windows :
go -C tooling build -o "$PWD\tooling\sysmon-modular.exe" ./cmd/sysmon-modular
Vous pouvez également exécuter des commandes directement avec Go. Par exemple :
go -C tooling run ./cmd/sysmon-modular --version
go -C tooling run exécute le programme depuis le répertoire tooling. Utilisez des chemins absolus lorsque vous adaptez les exemples de la racine du dépôt à cette forme, ou suivez les exemples relatifs à tooling dans la référence des commandes.
L'outillage démarre à la version de build 1.0 :
./tooling/sysmon-modular --version
./tooling/sysmon-modular help
./tooling/sysmon-modular merge --help
version et --version affichent sysmon-modular 1.0. La version de build apparaît également dans l'aide de premier niveau et dans l'aide spécifique aux commandes. Elle identifie l'outillage ; --sysmon-version sélectionne à la place l'exécutable Sysmon cible.