sysmon-modular | एक Sysmon कॉन्फ़िगरेशन रिपॉज़िटरी जिसे हर कोई अनुकूलित कर सकता है

Sysmon Modular, Microsoft Sysinternals Sysmon के लिए एक कॉन्फ़िगरेशन रिपॉज़िटरी है। छोटे XML मॉड्यूल उस टेलीमेट्री को चुनना, समीक्षा करना और बनाए रखना आसान बनाते हैं जो आपके संगठन के लिए उपयोगी है। sysmon-modular Go टूल उन मॉड्यूल से कॉन्फ़िगरेशन बनाता है और उन्हें मान्य करने, विश्लेषण करने और तुलना करने में मदद करता है।

प्रत्येक कॉन्फ़िगरेशन एक शुरुआती बिंदु है। इसे व्यापक रूप से तैनात करने से पहले अपने अनुप्रयोगों, एंडपॉइंट भूमिकाओं, डिटेक्शन आवश्यकताओं और लॉगिंग बजट के लिए समीक्षा और ट्यून करें। वर्कस्टेशन, सर्वर और डोमेन कंट्रोलर के लिए प्रबंधनीय प्रोफ़ाइल का एक सेट उपयोग करें, और प्रतिनिधि मशीनों पर उनके व्यवहार को मापें।

यह प्रोजेक्ट SwiftOnSecurity के मूल कॉन्फ़िगरेशन के बिना संभव नहीं होता, जिसने Sysmon Modular को प्रेरित किया और इसकी नींव का हिस्सा बना हुआ है।

विषय-सूची

• पूर्व-निर्मित कॉन्फ़िगरेशन
• टूलिंग प्राप्त करें
• कॉन्फ़िगरेशन जनरेट करना
• मान्य करें, विश्लेषण करें और तुलना करें
• KQL और MDE से मॉड्यूल जनरेट करें
• उपयोग
• CI/CD और रिलीज़
• दस्तावेज़ीकरण
• योगदान
• Sysmon समुदाय
• अधिक जानकारी

पूर्व-निर्मित कॉन्फ़िगरेशन

नियमित शुरुआती कॉन्फ़िगरेशन नवीनतम GitHub Release से डाउनलोड करें। ये समेकित XML फ़ाइलें स्रोत मॉड्यूल से जनरेट की जाती हैं और रिपॉज़िटरी में संग्रहीत होने के बजाय रिलीज़ एसेट के रूप में वितरित की जाती हैं।

प्रोफ़ाइल	डाउनलोड	संग्रह लक्ष्य
Balanced	sysmonconfig.xml	नियमित शुरुआती कॉन्फ़िगरेशन, FileDelete संग्रहण के बिना।
Balanced with FileDelete	sysmonconfig-with-filedelete.xml	FileDelete संग्रह और फ़ाइल संग्रहण जोड़ता है। संग्रह की डिस्क आवश्यकताओं को ध्यान में रखें।
Excludes only	sysmonconfig-excludes-only.xml	अपवर्जन मॉड्यूल से बनी एक बहुत विस्तृत प्रोफ़ाइल। पर्याप्त इवेंट वॉल्यूम की अपेक्षा करें और उत्पादन उपयोग से पहले ट्यून करें।

तीनों प्रोफ़ाइल Sysmon 15.21, 14.16, 13.34 और 12.03 के लिए जनरेट की जाती हैं। संस्करणयुक्त फ़ाइल नामों में लक्ष्य शामिल होता है, जैसे sysmonconfig-14.16.xml; ऊपर दिए गए बिना संस्करण वाले नाम 15.21 के उपनाम हैं। अपने एंडपॉइंट पर इंस्टॉल किया गया संस्करण चुनें। नियंत्रित रोलआउट के लिए, स्वचालित रूप से latest तैनात करने के बजाय एक विशिष्ट रिलीज़ को पिन करें।

दो प्रोफ़ाइल रिपॉज़िटरी में अलग उदाहरण बनी हुई हैं:

• Research configuration: छोटे, नियंत्रित शोध सत्रों के लिए अत्यधिक विस्तृत संग्रह। यह पर्याप्त CPU, मेमोरी और लॉगिंग क्षमता का उपभोग कर सकता है; जांच पूरी होने पर हल्का कॉन्फ़िगरेशन लोड करें।
• MDE-augment configuration: Microsoft Defender for Endpoint को कम ओवरलैप के साथ पूरक बनाने के लिए चयनित संग्रह। यह हर Sysmon इवेंट को सक्षम नहीं करता। इसकी बहिष्करण सूची को पुनर्निर्मित और समीक्षा करने के लिए MDE-augment generation guide देखें।

रिलीज़ में पूर्व-निर्मित टूल, संतुलित 15.21 कॉन्फ़िगरेशन से व्युत्पन्न एक ATT&CK Navigator लेयर, और एक SHA256SUMS मैनिफ़ेस्ट भी शामिल है।

टूलिंग प्राप्त करें

Go CLI समर्थित जनरेटर है। इस README में दिए गए उदाहरण repository root से चलाए जाते हैं और tooling में सहेजे गए बाइनरी का उपयोग करते हैं। यदि आप स्रोत मॉड्यूल से कॉन्फ़िगरेशन जनरेट करना चाहते हैं तो स्थानीय चेकआउट से शुरू करें:

git clone https://github.com/olafhartong/sysmon-modular.git
cd sysmon-modular

प्रीबिल्ट बाइनरीज़

अपने ऑपरेटिंग सिस्टम और आर्किटेक्चर के लिए GitHub Releases से बाइनरी डाउनलोड करें। इन बाइनरीज़ का उपयोग करने के लिए Go की आवश्यकता नहीं है।

सिस्टम	रिलीज़ एसेट
Windows x64	sysmon-modular-windows-amd64.exe
Windows ARM64	sysmon-modular-windows-arm64.exe
Linux x64	sysmon-modular-linux-amd64
Linux ARM64	sysmon-modular-linux-arm64
macOS Intel	sysmon-modular-darwin-amd64
macOS Apple silicon	sysmon-modular-darwin-arm64

डाउनलोड को tooling/sysmon-modular के रूप में सहेजें, या Windows पर tooling/sysmon-modular.exe के रूप में। Linux और macOS पर, इसे एक बार निष्पादन योग्य बनाएं:

chmod +x tooling/sysmon-modular

Build

स्रोत से बनाने के लिए Go 1.22 या नया आवश्यक है और यह केवल Go मानक लाइब्रेरी का उपयोग करता है।

Linux या macOS पर रिपॉज़िटरी रूट से:

go -C tooling build -o "$PWD/tooling/sysmon-modular" ./cmd/sysmon-modular

PowerShell से Windows पर:

go -C tooling build -o "$PWD\tooling\sysmon-modular.exe" ./cmd/sysmon-modular

आप Go के साथ सीधे कमांड भी चला सकते हैं। उदाहरण के लिए:

go -C tooling run ./cmd/sysmon-modular --version

go -C tooling run प्रोग्राम को tooling निर्देशिका से चलाता है। रिपॉज़िटरी-रूट उदाहरणों को उस रूप में अनुकूलित करते समय पूर्ण पथों का उपयोग करें, या कमांड संदर्भ में दिए गए tooling-सापेक्ष उदाहरणों का पालन करें।

संस्करण और सहायता

टूलिंग बिल्ड संस्करण 1.0 से शुरू होती है:

./tooling/sysmon-modular --version
./tooling/sysmon-modular help
./tooling/sysmon-modular merge --help

version और --version sysmon-modular 1.0 प्रिंट करते हैं। बिल्ड संस्करण शीर्ष-स्तरीय और कमांड-विशिष्ट सहायता में भी दिखाई देता है। यह टूलिंग की पहचान करता है; --sysmon-version इसके बजाय लक्ष्य Sysmon निष्पादन योग्य फ़ाइल का चयन करता है।

डिफ़ॉल्ट version.go में परिभाषित है। स्थानीय और रिलीज़ बिल्ड इसे स्वचालित रूप से शामिल करते हैं। किसी विशेष बिल्ड के लिए इसे ओवरराइड करने के लिए:

go -C tooling build -ldflags="-X main.buildVersion=1.1" \
  -o "$PWD/tooling/sysmon-modular" ./cmd/sysmon-modular

Windows पर, नीचे दिए गए कमांड में ./tooling/sysmon-modular.exe का उपयोग करें। बहु-पंक्ति PowerShell उदाहरण कस्टम कॉन्फ़िगरेशन गाइड में उपलब्ध हैं।

कॉन्फ़िगरेशन जनरेट करना