sysmon-modular | Un repository di configurazione Sysmon personalizzabile da chiunque

Sysmon Modular è un repository di configurazione per Microsoft Sysinternals Sysmon. Piccoli moduli XML semplificano la selezione, la revisione e la manutenzione della telemetria utile alla tua organizzazione. Lo strumento Go sysmon-modular costruisce le configurazioni da quei moduli e aiuta a validarle, analizzarle e confrontarle.

Ogni configurazione è un punto di partenza. Esaminala e adattala alle tue applicazioni, ai ruoli degli endpoint, alle esigenze di rilevamento e al budget di logging prima di distribuirla su larga scala. Utilizza un insieme gestibile di profili per workstation, server e domain controller, e misurane il comportamento su macchine rappresentative.

Questo progetto non sarebbe stato possibile senza la configurazione originale di SwiftOnSecurity, che ha ispirato Sysmon Modular e rimane parte delle sue fondamenta.

Contenuti

• Configurazioni pre-generate
• Ottenere gli strumenti
• Generare una configurazione
• Validare, analizzare e confrontare
• Generare moduli da KQL e MDE
• Utilizzo
• CI/CD e release
• Documentazione
• Contribuire
• Community di Sysmon
• Ulteriori informazioni

Configurazioni pre-generate

Scarica le configurazioni di partenza regolari dalla ultima release GitHub. Questi file XML consolidati sono generati dai moduli sorgente e distribuiti come asset di release invece di essere memorizzati nel repository.

Profilo	Download	Obiettivo di raccolta
Bilanciato	sysmonconfig.xml	La configurazione di partenza regolare, senza archiviazione FileDelete.
Bilanciato con FileDelete	sysmonconfig-with-filedelete.xml	Aggiunge la raccolta FileDelete e l'archiviazione dei file. Tieni conto dei requisiti di spazio su disco dell'archivio.
Solo esclusioni	sysmonconfig-excludes-only.xml	Un profilo molto verboso costruito da moduli di esclusione. Aspettati un volume di eventi sostanziale e adattalo prima dell'uso in produzione.

Tutti e tre i profili sono generati per Sysmon 15.21, 14.16, 13.34 e 12.03. I nomi dei file con versione includono il target, come sysmonconfig-14.16.xml; i nomi senza versione sopra riportati sono alias per la 15.21. Seleziona la versione installata sui tuoi endpoint. Per distribuzioni controllate, fissa una release specifica invece di distribuire automaticamente latest.

Due profili rimangono esempi separati nel repository:

• Configurazione per la ricerca: raccolta estremamente dettagliata per sessioni di ricerca brevi e controllate. Può consumare risorse considerevoli di CPU, memoria e capacità di logging; caricare una configurazione più leggera quando l'indagine è completata.
• Configurazione MDE-augment: raccolta selezionata pensata per integrare Microsoft Defender for Endpoint con meno sovrapposizioni. Non abilita tutti gli eventi Sysmon. Consultare la guida alla generazione MDE-augment per ricostruire e rivedere la sua lista di esclusioni.

La release include anche strumenti precompilati, un layer ATT&CK Navigator derivato dalla configurazione bilanciata 15.21, e un manifest SHA256SUMS.

Ottenere gli strumenti

La CLI Go è il generatore supportato. Gli esempi in questo README vengono eseguiti dalla radice del repository e utilizzano un binario salvato in tooling. Iniziare con un checkout locale se si desidera generare le configurazioni dai moduli sorgente:

git clone https://github.com/olafhartong/sysmon-modular.git
cd sysmon-modular

Binari precompilati

Scarica il binario per il tuo sistema operativo e architettura da GitHub Releases. Go non è necessario per utilizzare questi binari.

Sistema	Asset della release
Windows x64	sysmon-modular-windows-amd64.exe
Windows ARM64	sysmon-modular-windows-arm64.exe
Linux x64	sysmon-modular-linux-amd64
Linux ARM64	sysmon-modular-linux-arm64
macOS Intel	sysmon-modular-darwin-amd64
macOS Apple silicon	sysmon-modular-darwin-arm64

Salva il download come tooling/sysmon-modular, oppure tooling/sysmon-modular.exe su Windows. Su Linux e macOS, rendilo eseguibile una volta:

chmod +x tooling/sysmon-modular

Build

La compilazione dal sorgente richiede Go 1.22 o versione successiva e utilizza solo la libreria standard di Go.

Dalla radice del repository su Linux o macOS:

go -C tooling build -o "$PWD/tooling/sysmon-modular" ./cmd/sysmon-modular

Da PowerShell su Windows:

go -C tooling build -o "$PWD\tooling\sysmon-modular.exe" ./cmd/sysmon-modular

Puoi anche eseguire comandi direttamente con Go. Ad esempio:

go -C tooling run ./cmd/sysmon-modular --version

go -C tooling run esegue il programma dalla directory tooling. Usa percorsi assoluti quando adatti gli esempi relativi alla radice del repository a quella forma, oppure segui gli esempi relativi a tooling nella riferimento dei comandi.

Versione e aiuto

Il tooling parte dalla versione di build 1.0:

./tooling/sysmon-modular --version
./tooling/sysmon-modular help
./tooling/sysmon-modular merge --help

version e --version stampano sysmon-modular 1.0. La versione di build appare anche nella guida di primo livello e in quella specifica dei comandi. Identifica il tooling; --sysmon-version seleziona invece l'eseguibile Sysmon di destinazione.

Il valore predefinito è definito in version.go. Le build locali e di release lo includono automaticamente. Per sovrascriverlo per una build specifica:

go -C tooling build -ldflags="-X main.buildVersion=1.1" \
  -o "$PWD/tooling/sysmon-modular" ./cmd/sysmon-modular