sysmon-modular | Репозиторий конфигураций Sysmon для настройки каждым

Maintenance

Sysmon Modular — это репозиторий конфигураций для Microsoft Sysinternals Sysmon. Небольшие XML-модули упрощают выбор, проверку и поддержку телеметрии, полезной для вашей организации. Инструмент sysmon-modular на Go собирает конфигурации из этих модулей и помогает их проверять, анализировать и сравнивать.

Каждая конфигурация — это отправная точка. Перед широким развёртыванием проверьте и настройте её под свои приложения, роли конечных точек, потребности обнаружения и бюджет логирования. Используйте управляемый набор профилей для рабочих станций, серверов и контроллеров домена и измеряйте их поведение на репрезентативных машинах.

Этот проект был бы невозможен без оригинальной конфигурации SwiftOnSecurity, которая вдохновила Sysmon Modular и остаётся частью его основы.

Содержание

Предварительно сгенерированные конфигурации
Получение инструментов
Генерация конфигурации
Проверка, анализ и сравнение
Генерация модулей из KQL и MDE
Использование
CI/CD и релизы
Документация
Участие в разработке
Сообщество Sysmon
Дополнительная информация

Предварительно сгенерированные конфигурации

Скачайте стандартные стартовые конфигурации из последнего релиза на GitHub. Эти объединённые XML-файлы генерируются из исходных модулей и распространяются как артефакты релиза, а не хранятся в репозитории.

Профиль	Скачать	Цель сбора
Balanced	sysmonconfig.xml	Стандартная стартовая конфигурация, без архивирования FileDelete.
Balanced with FileDelete	sysmonconfig-with-filedelete.xml	Добавляет сбор FileDelete и архивирование файлов. Учитывайте требования архива к дисковому пространству.
Excludes only	sysmonconfig-excludes-only.xml	Очень подробный профиль, построенный из модулей исключений. Ожидайте значительный объём событий и настройте его перед использованием в продакшене.

Все три профиля генерируются для Sysmon 15.21, 14.16, 13.34 и 12.03. Имена файлов с версией включают целевой номер, например sysmonconfig-14.16.xml; имена без версии выше являются псевдонимами для 15.21. Выберите версию, установленную на ваших конечных точках. Для контролируемых развёртываний закрепите конкретный релиз вместо автоматического развёртывания latest.

Два профиля остаются отдельными примерами в репозитории:

Конфигурация для исследований: чрезвычайно подробный сбор для коротких контролируемых исследовательских сессий. Она может потреблять значительные ресурсы CPU, памяти и системы логирования; после завершения расследования загрузите более лёгкую конфигурацию.
Конфигурация MDE-augment: выборочный сбор, предназначенный для дополнения Microsoft Defender for Endpoint с меньшим дублированием. Она не включает все события Sysmon. См. руководство по генерации MDE-augment, чтобы пересобрать и проверить её список исключений.

Релиз также включает готовые инструменты, слой ATT&CK Navigator, созданный на основе сбалансированной конфигурации 15.21, и манифест SHA256SUMS.

Получение инструментов

Go CLI — поддерживаемый генератор. Примеры в этом README выполняются из корня репозитория и используют бинарный файл, сохранённый в tooling. Начните с локальной копии репозитория, если хотите генерировать конфигурации из исходных модулей:

git clone https://github.com/olafhartong/sysmon-modular.git
cd sysmon-modular

Готовые бинарные файлы

Скачайте бинарный файл для вашей операционной системы и архитектуры со страницы GitHub Releases. Для использования этих бинарных файлов Go не требуется.

Система	Файл релиза
Windows x64	`sysmon-modular-windows-amd64.exe`
Windows ARM64	`sysmon-modular-windows-arm64.exe`
Linux x64	`sysmon-modular-linux-amd64`
Linux ARM64	`sysmon-modular-linux-arm64`
macOS Intel	`sysmon-modular-darwin-amd64`
macOS Apple silicon	`sysmon-modular-darwin-arm64`

Сохраните загруженный файл как tooling/sysmon-modular или tooling/sysmon-modular.exe в Windows. В Linux и macOS сделайте его исполняемым один раз:

chmod +x tooling/sysmon-modular

Сборка

Для сборки из исходного кода требуется Go 1.22 или новее, и используется только стандартная библиотека Go.

Из корня репозитория в Linux или macOS:

go -C tooling build -o "$PWD/tooling/sysmon-modular" ./cmd/sysmon-modular

Из PowerShell в Windows:

go -C tooling build -o "$PWD\tooling\sysmon-modular.exe" ./cmd/sysmon-modular

Вы также можете запускать команды напрямую с помощью Go. Например:

go -C tooling run ./cmd/sysmon-modular --version

go -C tooling run запускает программу из каталога tooling. Используйте абсолютные пути при адаптации примеров из корня репозитория к этой форме или следуйте примерам относительно tooling в справочнике команд.

Версия и справка

Инструментарий начинается с версии сборки 1.0:

./tooling/sysmon-modular --version
./tooling/sysmon-modular help
./tooling/sysmon-modular merge --help

version и --version выводят sysmon-modular 1.0. Версия сборки также отображается в справке верхнего уровня и справке конкретных команд. Она идентифицирует инструментарий; --sysmon-version вместо этого выбирает целевой исполняемый файл Sysmon.

Значение по умолчанию определено в version.go. Локальные и релизные сборки включают его автоматически. Чтобы переопределить его для конкретной сборки:

go -C tooling build -ldflags="-X main.buildVersion=1.1" \
  -o "$PWD/tooling/sysmon-modular" ./cmd/sysmon-modular

sysmon-modular

Популярное