olafhartong/sysmon-parserСоздаёт и поддерживает парсер Azure Sentinel для событий Sysmon, нормализуя всю телеметрию конечных точек Windows в единую поисковую схему журналов с помощью PowerShell и CI-конвейера.
Автоматически генерируемый парсер Sysmon для Azure Sentinel
Файл Sysmon-AllVersions_Parser.txt можно загрузить как функцию в Azure Sentinel для анализа всех ваших событий.
Существует конвейер Azure DevOps, который запускается ежедневно для установки последней версии Sysmon, извлекает схему и заполняет парсер всеми уникальными полями.
Сценарий PowerShell также можно запускать локально на компьютере, где установлен Sysmon
