nextronsystems/sysmon-configПредоставляет тщательно подобранные шаблоны конфигураций трассировки событий Sysmon для обнаружения Cobalt Strike, веб-шеллов, артефактов программ-вымогателей и активности известных эксплойтов.
Это форк и модифицированная версия конфигурации sysmon от @SwiftOnSecurity.
Изначально это была просто копия оригинального репозитория. Мы объединили большинство из 30+ открытых pull request. Таким образом, мы исправили многие проблемы, которые всё ещё присутствуют в оригинальной версии, и расширили покрытие важными новыми дополнениями.
Этот репозиторий включает оригинальную и две дополнительные конфигурации:
sysmonconfig-export.xml оригинальная конфигурация от @SwiftOnSecuritysysmonconfig-export-block.xml оригинальная конфигурация от @SwiftOnSecurity с некоторыми базовыми правилами блокировки, доступными с Sysmon v14 (ВНИМАНИЕ: используйте с осторожностью!)sysmonconfig-trace.xml конфигурация от @Cyb3rWard0g, которая логирует практически всё, с несколькими примерами для отладки или исследований угрозSysmon Modular от Olaf Hartong — модульная конфигурация Sysmon для упрощения сопровождения и генерации конкретных конфигураций
Эта конфигурация ориентирована на покрытие детектирования. У нас есть только одна довольно небольшая тестовая среда, чтобы избежать проблемных выражений, которые срабатывают слишком часто. В любом случае рекомендуется протестировать загруженную конфигурацию на небольшом наборе систем в вашем окружении.
Поскольку у нас нет более чем одной среды для самостоятельного тестирования конфигурации, мы полагаемся на обратную связь от сообщества.
Пожалуйста, сообщайте:
Запустите с правами администратора
sysmon.exe -accepteula -i sysmonconfig-export.xml
Запустите с правами администратора
sysmon.exe -c sysmonconfig-export.xml
Запустите с правами администратора
sysmon.exe -u
Поскольку мы хотели иметь возможность получать новые pull request в этом репозитории, нам пришлось сжать все открытые(!) pull request исходного репозитория в один коммит в этом.
Мы приняли следующие pull request:
Раздел реестра для обнаружения определений исключений Windows Defender
155 открыт 12 дней назад @phantinuss
Изменения URL в Outlook Webview
154 открыт 14 июня @humpalum
Идентификатор события 26
153 открыт 14 июня @Richman711
Важные и релевантные имена NamedPipe
151 открыт 27 мая @Neo23x0
Добавлен именованный канал, используемый @Cobalt Strike
150 открыт 26 мая @WojciechLesicki
Исправление примера FileDelete.
149 открыт 26 мая @sigalpes
Добавлено исключение для WUDFHost.exe в событие 11
148 открыт 19 апр. @lord-garmadon
Исправлено имя события для Event ID 23
147 открыт 16 апр. @lord-garmadon
Мониторинг .js файлов для Microsoft JScript
146 открыт 7 апр. @KevinDeNotariis
Добавлены порты WinRM и имена служб
145 открыт 16 мар. @tobor88
Добавлены ASP-файлы для веб-шеллов
144 открыт 8 мар. @GossiTheDog
Обновлено правило NetworkConnect для исправления порта Metasploit по умолчанию
143 открыт 6 мар. @brokenvhs
Артефакты программ-вымогателей добавлены в конфигурацию создания файлов
140 открыт 18 фев. @sduff
Проверка раздела реестра MiniNT
130 открыт 9 сен. 2020 @ThisIsNotTheUserYouAreLookingFor
Добавлено обнаружение для CVE-2017-0199 и CVE-2017-8759.
118 открыт 21 мая 2020 @d4rk-d4nph3
Изменения портов принтера, используемые в CVE-2020-1048
115 открыт 15 мая 2020 @Neo23x0
Обновление sysmonconfig-export.xml
108 открыт 1 мар. 2020 @harmonkc
Изменены обходимые проверки DNS-имён хостов
107 открыт 5 фев. 2020 @MaxNad
Добавлена большая часть отсутствующих LOLBAS для загрузки исполняемых файлов
106 открыт 5 фев. 2020 @MaxNad
Изменение порта предупреждений Metasploit с 444 на 4444
105 открыт 5 фев. 2020 @ION28
Добавлено исключение для агента Azure MMA | Добавлено исключение для скрипта IPAM GP PS | Добавлено исключение для MonitorKnowledgeDiscovery
104 открыт 29 янв. 2020 @adrwh
Исправлен путь в реестре для wdigest
102 открыт 13 дек. 2019 @qz8xTD
Лишнее упоминание альфа-версии для логирования DNS
100 открыт 10 дек. 2019 @itpropaul
Добавлены цели с именами скриптовых файлов
98 открыт 14 нояб. 2019 @bartblaze
Включены некоторые записи из PR в sysmonconfig-export.xml
97 открыт 6 нояб. 2019 @cudeso
Загрузка раскладки клавиатуры
92 открыт 13 окт. 2019 @Neo23x0
Исправлен порт IMAP
71 открыт 12 янв. 2019 @esecrpm
66 открыт 21 авг. 2018 @martboo
59 открыт 25 мая 2018 @paalbra
Микро-улучшения отслеживаемых сценариев
53 открыт 6 мар. 2018 @threathunting
Исправлена опечатка для расширения RTF
50 открыт 24 янв. 2018 @kronflux
Добавлены разделы реестра Windows Trust для логирования
40 открыт 4 окт. 2017 @mdunten