swiftonsecurity/sysmon-configШаблон конфигурации Sysmon с комментариями для высококачественного отслеживания событий Windows, охоты за угрозами и реагирования на инциденты. Разработан как учебное пособие по мониторингу системы и отправная точка для настройки.
Это шаблон файла конфигурации Microsoft Sysinternals Sysmon с отслеживанием событий высокого качества по умолчанию.
Этот файл должен стать отличной отправной точкой для мониторинга изменений в системе в компактном и доступном пакете. Эта конфигурация и её результаты дадут вам хорошее представление о возможностях Sysmon. Обратите внимание, что он не отслеживает такие вещи, как аутентификация и другие события Windows, которые также важны для расследования инцидентов.
Поскольку практически каждая строка содержит комментарии, а разделы снабжены пояснениями, этот файл также может служить учебником по Sysmon и руководством по критически важным областям мониторинга в системах Windows.
Для гораздо более полного и детального подхода к конфигурации Sysmon с другой точки зрения см. также sysmon-modular от @olafhartong, который может служить надмножеством sysmon-config.
Sysmon дополняет встроенные возможности ведения журналов Windows, а не заменяет их. За ценными советами по этим конфигурациям обращайтесь к MalwareArchaeology Logging Cheat Sheets от @HackerHurricane.
Примечание: Точный синтаксис и выбор фильтров в конфигурации тщательно продуманы для достижения поставленных целей и минимального влияния на производительность. Возможности фильтрации Sysmon отличаются от встроенных функций аудита Windows, поэтому часто используется иной подход, нежели обычное статическое перечисление путей.
Посмотреть другие форки этой конфигурации
Запустите с правами администратора
sysmon.exe -accepteula -i sysmonconfig-export.xml
Запустите с правами администратора
sysmon.exe -c sysmonconfig-export.xml
Запустите с правами администратора
sysmon.exe -u
Настоятельно рекомендуется использовать Notepad++ для редактирования этой конфигурации. Он понимает формат новых строк UNIX и выполняет подсветку синтаксиса XML, что делает файл очень понятным. Я не рекомендую использовать встроенный Блокнот (Notepad.exe).
Вам потребуется установить и проверить результаты конфигурации в вашем собственном окружении, прежде чем разворачивать её повсеместно. Например, вам нужно будет исключить действия вашего антивируса, иначе они, скорее всего, заполнят ваши журналы бесполезной информацией.
Конфигурация обильно закомментирована и создана для того, чтобы быть интуитивно понятной, помогая вам в настройке под ваше окружение.
Эта конфигурация предполагает, что программное обеспечение устанавливается системно, а НЕ в папку C:\Users. Различные программы устанавливают себя в пользовательские каталоги, которые подлежат дополнительному мониторингу. Там, где это возможно, следует устанавливать системную версию таких программ, например Chrome. См. файл конфигурации для дополнительных инструкций.