swiftonsecurity/sysmon-config고품질 Windows 이벤트 추적, 위협 헌팅 및 사고 대응을 위한 주석이 포함된 Sysmon 구성 템플릿입니다. 시스템 모니터링에 대한 튜토리얼이자 사용자 지정을 위한 시작점으로 설계되었습니다.
이것은 기본 고급 이벤트 추적 기능을 갖춘 Microsoft Sysinternals Sysmon 설정 파일 템플릿입니다.
이 파일은 자체 포함되고 접근 가능한 패키지로 시스템 변경 모니터링을 위한 훌륭한 시작점 역할을 해야 합니다. 이 설정과 결과를 통해 Sysmon으로 무엇이 가능한지 잘 알 수 있을 것입니다. 참고로, 이 설정은 인증 및 사고 조사에 중요한 기타 Windows 이벤트와 같은 항목을 추적하지 않습니다.
거의 모든 줄에 주석이 달려 있고 섹션에 설명이 표시되어 있으므로, 이는 Sysmon에 대한 튜토리얼이자 Windows 시스템의 중요한 모니터링 영역에 대한 가이드로도 작동해야 합니다.
훨씬 더 포괄적이고 상세한 접근 방식으로 Sysmon 설정을 다루는 다른 접근법으로는 @olafhartong의 sysmon-modular 도 참조하세요. 이는 sysmon-config의 상위 집합 역할을 할 수 있습니다.
Sysmon은 기본 Windows 로깅 기능을 보완하는 것이지 대체하는 것이 아닙니다. 이러한 구성에 대한 유용한 조언은 @HackerHurricane의 MalwareArchaeology Logging Cheat Sheets 를 참조하세요.
참고: 설정의 정확한 구문 및 필터링 선택은 목표로 하는 대상을 매우 신중하게 선택했으며 가능한 한 성능에 미치는 영향을 최소화하도록 되어 있습니다. Sysmon의 필터링 기능은 내장된 Windows 감사 기능과 다르기 때문에 일반적인 정적 경로 목록과는 다른 접근 방식이 자주 사용됩니다.
관리자 권한으로 실행
sysmon.exe -accepteula -i sysmonconfig-export.xml
관리자 권한으로 실행
sysmon.exe -c sysmonconfig-export.xml
관리자 권한으로 실행
sysmon.exe -u
이 설정을 편집하려면 Notepad++를 사용하는 것이 좋습니다. UNIX 개행 형식을 이해하고 XML 구문 강조를 지원하여 이해하기 쉽습니다. 기본 제공 메모장(Notepad.exe)은 사용하지 않는 것이 좋습니다.
광범위하게 배포하기 전에 자신의 환경에서 설정을 설치하고 결과를 관찰해야 합니다. 예를 들어, 바이러스 백신의 작업을 제외해야 합니다. 그렇지 않으면 불필요한 정보로 로그가 가득 찰 가능성이 높습니다.
설정에는 많은 주석이 포함되어 있으며 설명이 필요 없도록 설계되어 환경에 맞게 사용자 정의하는 데 도움이 됩니다.
이 설정은 소프트웨어가 시스템 전체에 설치되어야 하며 C:\Users 폴더에 설치되지 않아야 합니다. 다양한 소프트웨어 조각이 사용자 디렉터리에 설치되어 추가 모니터링 대상이 됩니다. 가능하면 Chrome과 같은 소프트웨어의 시스템 전체 버전을 설치해야 합니다. 자세한 지침은 설정 파일을 참조하세요.