scarredmonk/sysmonsimulatorUtility di simulazione eventi Sysmon che può essere utilizzata per simulare attacchi al fine di generare log degli eventi Sysmon per testare le rilevazioni EDR e le regole di correlazione da parte dei Blue team.
SysmonSimulator è un'utility open source per la simulazione di eventi Windows, creata in linguaggio C, che può essere utilizzata per simulare la maggior parte degli attacchi usando le WINAPI. Può essere utilizzata dai Blue Team per testare le rilevazioni EDR e le regole di correlazione. L'ho creata per generare dati di attacco per i relativi Sysmon Event ID.
Questo strumento è stato spiegato nel blogpost: https://rootdse.org/posts/understanding-sysmon-events/
Gli attacchi coperti per gli eventi Windows importanti sono i seguenti:
__ __
(_ _ ._ _ _ ._ (_ o ._ _ | _. _|_ _ ._
__) \/ _> | | | (_) | | __) | | | | |_| | (_| |_ (_) |
/
by @ScarredMonk
Sysmon Simulator v0.1 - utility di simulazione eventi Sysmon
Un'utility Windows per simulare i log degli eventi Sysmon
Utilizzo:
Esegui simulazione : .\SysmonSimulator.exe -eid <event id>
Mostra menu di aiuto : .\SysmonSimulator.exe -help
Esempio:
SysmonSimulator.exe -eid 1
Parametri:
-eid 1 : Creazione di processo
-eid 2 : Un processo ha modificato la data di creazione di un file
-eid 3 : Connessione di rete
-eid 5 : Processo terminato
-eid 6 : Driver caricato
-eid 7 : Immagine caricata
-eid 8 : CreateRemoteThread
-eid 9 : RawAccessRead
-eid 10 : ProcessAccess
-eid 11 : FileCreate
-eid 12 : RegistryEvent - Creazione ed eliminazione oggetto
-eid 13 : RegistryEvent - Impostazione valore
-eid 14 : RegistryEvent - Rinomina chiave e valore
-eid 15 : FileCreateStreamHash
-eid 16 : ServiceConfigurationChange
-eid 17 : PipeEvent - Pipe creata
-eid 18 : PipeEvent - Pipe connessa
-eid 19 : WmiEvent - Rilevata attività WmiEventFilter
-eid 20 : WmiEvent - Rilevata attività WmiEventConsumer
-eid 21 : WmiEvent - Rilevata attività WmiEventConsumerToFilter
-eid 22 : DNSEvent - Query DNS
-eid 24 : ClipboardChange - Nuovo contenuto negli appunti
-eid 25 : ProcessTampering - Modifica immagine di processo
-eid 26 : FileDeleteDetected - Eliminazione file registrata
Descrizione:
Inserisci un Event ID dall'elenco dei parametri sopra e verrà chiamata la relativa funzione API di Windows
per simulare l'attacco e verrà generato il log dell'evento Sysmon, visualizzabile nel Visualizzatore eventi di Windows
Prerequisito:
Sysmon deve essere installato sul sistema