Руководство сообщества TrustedSec по Sysmon

Эта работа распространяется по лицензии Creative Commons Attribution-ShareAlike 4.0 International, пожалуйста, указывайте авторство TrustedSec LLC

Вы можете свободно:

Делиться — копировать и распространять материал на любых носителях и в любых форматах.

Адаптировать — перерабатывать, преобразовывать и дорабатывать материал.

Авторы призывают вас распространять этот контент как можно шире, но просят указывать авторство основных авторов, указанных ниже, и уведомлять нас на GitHub о любых внесённых вами улучшениях.

Оглавление

• Что такое Sysmon

• Sysmon в Windows

  • Драйвер Sysmon

  • Установка и настройка

• Sysmon в Linux

  • sysinternalsEBPF

  • Установка и настройка

• Конфигурация

• Основы разработки детектирования

• События Sysmon

  • События процессов

    • Создание процесса

    • Завершение процесса

    • Доступ к процессу

  • События файлов

    • Создание файла

    • Изменение времени создания файла

    • Хэш создания файлового потока

    • Удаление файла

    • Обнаружено удаление файла

    • Блокировка EXE-файла

    • Блокировка уничтожения файла

  • Именованные каналы

  • Загрузка драйверов

  • Действия с реестром

  • Загрузка образов

Текущее состояние:

Microsoft Sysinternals Sysmon — это постоянно развивающееся программное обеспечение, предоставляемое Microsoft бесплатно для своих пользователей. Поэтому оно постоянно обновляется, и добавляются новые функции. Что касается конфигураций, это руководство старается быть максимально открытым, поскольку каждая среда уникальна, и рекомендации по возможности основываются на этих ограничениях. Руководство публикуется в открытом исходном коде, чтобы по мере развития Sysmon сообщество помогало расширять и поддерживать его.

Участие в разработке

Пожалуйста, используйте систему issues или pull-запросы на GitHub для внесения исправлений, дополнений и других изменений в текст — мы приветствуем ваш вклад!

Авторы

Это руководство написано, поддерживается и редактируется Карлосом Пересом из TrustedSec LLC.

• Авторское право 2025 © TrustedSec LLC.