TrustedSec Sysmon 커뮤니티 가이드

이 저작물은 크리에이티브 커먼즈 저작자표시-동일조건변경허락 4.0 국제 라이선스에 따라 이용할 수 있으며, TrustedSec LLC에 출처를 표시해 주시기 바랍니다.

여러분은 다음을 자유롭게 할 수 있습니다:

공유 — 어떤 매체나 형식으로든 자료를 복사하고 재배포할 수 있습니다.

변형 — 자료를 리믹스, 변형, 또는 기반으로 한 새로운 저작물을 만들 수 있습니다.

저자들은 이 콘텐츠를 가능한 한 널리 재배포할 것을 권장하지만, 아래의 주요 저작자에게 출처를 표시하고, 개선 사항이 있으면 GitHub를 통해 알려주실 것을 요청합니다.

Table of Contents

• Sysmon이란

• Windows의 Sysmon

  • Sysmon 드라이버

  • 설치 및 구성

• Linux의 Sysmon

  • sysinternalsEBPF

  • 설치 및 구성

• 구성

• 탐지 엔지니어링 기초

• Sysmon 이벤트

  • 프로세스 이벤트

    • 프로세스 생성

    • 프로세스 종료

    • 프로세스 접근

  • 파일 이벤트

    • 파일 생성

    • 파일 생성 시간 변경

    • 파일 스트림 생성 해시

    • 파일 삭제

    • 파일 삭제 감지됨

    • EXE 파일 차단

    • 파일 분쇄 차단

  • 명명된 파이프

  • 드라이버 로딩

  • 레지스트리 작업

  • 이미지 로딩

  • 네트워크 연결

현재 상태:

Microsoft Sysinternals Sysmon은 Microsoft가 사용자에게 무료로 제공하는 소프트웨어로, 끊임없이 변화하고 있습니다. 따라서 지속적으로 업데이트되고 새로운 기능이 추가됩니다. 구성과 관련하여 이 가이드는 각 환경이 고유하고 권장 사항이 가능한 한 이러한 제약 조건을 기반으로 하기 때문에 최대한 개방적으로 유지하려고 합니다. 이 가이드는 Sysmon이 발전함에 따라 커뮤니티가 가이드의 확장과 유지 관리에 도움을 줄 수 있도록 오픈 소스로 제작되었습니다.

기여하기

수정, 기여 및 기타 텍스트 변경 사항은 이슈 시스템이나 GitHub 풀 리퀘스트를 통해 알려주시기 바랍니다. 여러분의 기여를 환영합니다!

크레딧

이 가이드는 TrustedSec LLC의 Carlos Perez가 작성, 유지 관리 및 편집했습니다.

• Copyright 2025 © TrustedSec LLC.