sysmon-modular | 누구나 사용자 정의할 수 있는 Sysmon 구성 저장소

Maintenance

Sysmon Modular은 Microsoft Sysinternals Sysmon을 위한 구성 저장소입니다. 작은 XML 모듈을 사용하면 조직에 유용한 텔레메트리를 더 쉽게 선택, 검토 및 유지 관리할 수 있습니다. sysmon-modular Go 도구는 이러한 모듈로부터 구성을 빌드하고 이를 검증, 분석 및 비교하는 데 도움을 줍니다.

모든 구성은 출발점입니다. 광범위하게 배포하기 전에 애플리케이션, 엔드포인트 역할, 탐지 요구 사항 및 로깅 예산에 맞게 검토하고 조정하십시오. 워크스테이션, 서버 및 도메인 컨트롤러에 대해 관리 가능한 프로필 세트를 사용하고 대표적인 머신에서 그 동작을 측정하십시오.

이 프로젝트는 Sysmon Modular에 영감을 주고 그 기반의 일부로 남아 있는 SwiftOnSecurity의 원본 구성 없이는 불가능했을 것입니다.

미리 생성된 구성

최신 GitHub 릴리스에서 기본 시작 구성을 다운로드하십시오. 이 통합 XML 파일은 소스 모듈에서 생성되며 저장소에 저장되는 대신 릴리스 자산으로 배포됩니다.

프로필	다운로드	수집 목표
Balanced	sysmonconfig.xml	FileDelete 아카이빙이 없는 기본 시작 구성입니다.
Balanced with FileDelete	sysmonconfig-with-filedelete.xml	FileDelete 수집 및 파일 아카이빙을 추가합니다. 아카이브의 디스크 요구 사항을 고려하십시오.
Excludes only	sysmonconfig-excludes-only.xml	제외 모듈로 빌드된 매우 상세한 프로필입니다. 상당한 이벤트 볼륨이 예상되므로 프로덕션 사용 전에 조정하십시오.

세 프로필 모두 Sysmon 15.21, 14.16, 13.34 및 12.03용으로 생성됩니다. 버전이 지정된 파일 이름에는 대상이 포함됩니다(예: sysmonconfig-14.16.xml). 위의 버전이 지정되지 않은 이름은 15.21의 별칭입니다. 엔드포인트에 설치된 버전을 선택하십시오. 통제된 롤아웃의 경우 latest를 자동으로 배포하는 대신 특정 릴리스를 고정하십시오.

두 프로필은 저장소에 별도의 예시로 남아 있습니다:

Research configuration: 짧고 통제된 연구 세션을 위한 매우 상세한 수집입니다. 상당한 CPU, 메모리 및 로깅 용량을 소비할 수 있으므로 조사가 완료되면 더 가벼운 구성을 로드하십시오.
MDE-augment configuration: Microsoft Defender for Endpoint를 보완하면서 중복을 줄이기 위한 선택적 수집입니다. 모든 Sysmon 이벤트를 활성화하지는 않습니다. 제외 목록을 재구성하고 검토하려면 MDE-augment 생성 가이드를 참조하십시오.

릴리스에는 사전 빌드된 도구, 균형 잡힌 15.21 구성에서 파생된 ATT&CK Navigator 레이어, 그리고 SHA256SUMS 매니페스트도 포함됩니다.

도구 받기

Go CLI가 지원되는 생성기입니다. 이 README의 예제는 저장소 루트에서 실행되며 tooling에 저장된 바이너리를 사용합니다. 소스 모듈에서 구성을 생성하려면 로컬 체크아웃으로 시작하십시오:

git clone https://github.com/olafhartong/sysmon-modular.git
cd sysmon-modular

사전 빌드된 바이너리

운영 체제와 아키텍처에 맞는 바이너리를 GitHub Releases에서 다운로드하세요. 이 바이너리를 사용하는 데 Go는 필요하지 않습니다.

시스템	릴리스 자산
Windows x64	`sysmon-modular-windows-amd64.exe`
Windows ARM64	`sysmon-modular-windows-arm64.exe`
Linux x64	`sysmon-modular-linux-amd64`
Linux ARM64	`sysmon-modular-linux-arm64`
macOS Intel	`sysmon-modular-darwin-amd64`
macOS Apple silicon	`sysmon-modular-darwin-arm64`

다운로드한 파일을 tooling/sysmon-modular로 저장하거나, Windows에서는 tooling/sysmon-modular.exe로 저장하세요. Linux와 macOS에서는 한 번 실행 권한을 부여하세요:

chmod +x tooling/sysmon-modular

빌드

소스에서 빌드하려면 Go 1.22 이상이 필요하며, Go 표준 라이브러리만 사용합니다.

Linux 또는 macOS에서 저장소 루트에서:

go -C tooling build -o "$PWD/tooling/sysmon-modular" ./cmd/sysmon-modular

Windows의 PowerShell에서:

go -C tooling build -o "$PWD\tooling\sysmon-modular.exe" ./cmd/sysmon-modular

Go로 직접 명령을 실행할 수도 있습니다. 예를 들어:

go -C tooling run ./cmd/sysmon-modular --version

go -C tooling run은 tooling 디렉터리에서 프로그램을 실행합니다. 저장소 루트 기준 예제를 이 형식에 맞게 적용할 때는 절대 경로를 사용하거나, 명령 참조의 tooling 기준 예제를 따르세요.

버전 및 도움말

도구는 빌드 버전 1.0에서 시작합니다:

./tooling/sysmon-modular --version
./tooling/sysmon-modular help
./tooling/sysmon-modular merge --help

version와 --version은 sysmon-modular 1.0을 출력합니다. 빌드 버전은 최상위 및 명령별 도움말에도 나타납니다. 이는 도구를 식별하며, --sysmon-version은 대신 대상 Sysmon 실행 파일을 선택합니다.

기본값은 version.go에 정의되어 있습니다. 로컬 및 릴리스 빌드에는 자동으로 포함됩니다. 특정 빌드에 대해 이를 재정의하려면:

go -C tooling build -ldflags="-X main.buildVersion=1.1" \
  -o "$PWD/tooling/sysmon-modular" ./cmd/sysmon-modular

Windows에서는 아래 명령에서 ./tooling/sysmon-modular.exe를 사용하십시오. 여러 줄 PowerShell 예제는 사용자 지정 구성 가이드에서 확인할 수 있습니다.

구성 생성하기

필요한 컬렉션을 선택하려면 예제 포함 목록과 예제 제외 목록을 편집한 다음, 구성을 생성하십시오:

./tooling/sysmon-modular merge \
  --base-path "$PWD" \
  --template "$PWD/templates/sysmon_template.xml" \
  --include-list "$PWD/0_custom_configuration/example_include_rules.txt" \
  --exclude-list "$PWD/0_custom_configuration/example_exclude_rules.txt" \
  --sysmon-version 15.21 \
  --unsupported exclude \
  --preserve-comments \
  --output "$PWD/0_custom_configuration/sysmonconfig-example.xml"

제공된 목록은 선택 사항을 보여주는 예시이며, 프로덕션 튜닝 정책이 아닙니다. 목록 항목은 개별 모듈이나 번호가 지정된 디렉터리를 지정할 수 있으며, 모듈이 양쪽 모두에 나타나면 제외 목록이 우선합니다. 개별 모듈에 대해 --path를 반복하거나 CSV, TSV 또는 JSON 우선순위 목록과 함께 --file-list를 사용할 수도 있습니다.

명시적인 선택이 없으면 merge는 번호가 지정된 디렉터리의 모든 모듈을 검색합니다. 여기에는 23_file_delete가 포함되므로, 밸런스 릴리스 프로필에서 제외된 아카이빙을 활성화합니다. 병합기는 기본적으로 소스 RuleGroup 관계를 유지합니다. 사용자 지정 템플릿은 전역 설정을 유지하면서 이벤트 필터가 선택한 모듈로 대체됩니다.

기본 대상은 Sysmon 15/schema 4.90입니다. schema 4.91을 사용하려면 --sysmon-version 15.21을 선택하거나, 12부터 15까지의 다른 지원 실행 파일 버전을 선택하세요. 지원되지 않는 이벤트와 필드는 기본적으로 경고와 함께 출력에 남습니다. --unsupported exclude는 알려진 비호환 콘텐츠를 제거합니다. 이러한 제거는 수집을 변경하므로 검토하세요. merge reference에는 전체 선택 규칙, 플래그, 예제 및 schema compatibility table이 포함되어 있습니다.

드라이버 관련 가시성을 추가로 확보하려면 구성을 생성하기 전에 현재 LOLdrivers 구성을 29_file_executable_detected에 추가한 다음 병합된 결과를 검토하는 것을 고려하세요.

검증, 분석 및 비교

모든 소스 모듈을 확인하고 경고를 실패로 처리하세요:

./tooling/sysmon-modular validate \
  --all --base-path "$PWD" --sysmon-version 15.21 --warnings-as-errors

sysmon-modular

인기