swiftonsecurity/sysmon-configコメント付きSysmon設定テンプレート。高品質なWindowsイベントトレース、脅威ハンティング、インシデント対応のためのものです。システム監視のチュートリアルとして、またカスタマイズの出発点として設計されています。
これは、デフォルトの高品質なイベントトレースを備えたMicrosoft Sysinternals Sysmon設定ファイルのテンプレートです。
このファイルは、自己完結型でアクセスしやすいパッケージとして、システム変更監視の優れた出発点となるはずです。この設定とその結果は、Sysmonで何が可能かを理解するのに役立ちます。なお、これは認証やインシデント調査にも重要なその他のWindowsイベントは追跡しません。
ほぼすべての行にコメントが付き、セクションには説明が記されているため、SysmonのチュートリアルおよびWindowsシステムの重要な監視領域へのガイドとしても機能します。
別のアプローチからSysmon設定をより徹底的かつ詳細に行うには、@olafhartongによる**sysmon-modular**も参照してください。これはsysmon-configのスーパーセットとして機能します。
SysmonはネイティブのWindowsログ機能を補完するものであり、置き換えるものではありません。これらの設定に関する貴重なアドバイスについては、@HackerHurricaneによる**MalwareArchaeology Logging Cheat Sheets**を参照してください。
注：設定内の正確な構文とフィルタリングの選択は、対象とすることとパフォーマンスへの影響を最小限に抑えることに非常に意図的です。Sysmonのフィルタリング機能は組み込みのWindows監査機能とは異なるため、通常の静的パス一覧とは異なるアプローチが取られることがよくあります。
See other forks of this configuration
管理者権限で実行
sysmon.exe -accepteula -i sysmonconfig-export.xml
管理者権限で実行
sysmon.exe -c sysmonconfig-export.xml
管理者権限で実行
sysmon.exe -u
Notepad++を使用してこの設定を編集することを強くお勧めします。UNIX改行形式を理解し、XMLのシンタックスハイライトを行うため、非常に理解しやすくなります。組み込みのメモ帳（Notepad.exe）はお勧めしません。
広く展開する前に、自身の環境で設定をインストールし、結果を観察する必要があります。例えば、アンチウイルスの動作を除外する必要があります。そうしないと、ログが無価値な情報で埋め尽くされる可能性があります。
設定には多くのコメントが付いており、環境に合わせたカスタマイズを支援するために自己説明的になるように設計されています。
この設定は、ソフトウェアがシステム全体にインストールされ、C:\Usersフォルダにはインストールされないことを前提としています。多くのソフトウェアはユーザーディレクトリにインストールされますが、これらは追加の監視対象となります。可能な場合は、Chromeのようにシステム全体にインストールされるバージョンを使用する必要があります。詳細な手順については設定ファイルを参照してください。