TrustedSec Sysmon 社区指南

本作品采用知识共享署名-相同方式共享 4.0 国际许可协议进行许可，请注明出处为 TrustedSec LLC

您可以自由地：

共享 — 以任何媒介或格式复制和重新分发本材料。

改编 — 对本材料进行再混合、转换和二次创作。

作者鼓励您尽可能广泛地重新分发本内容，但要求您注明下方的主要作者，并在 GitHub 上告知我们您所做的任何改进。

目录

• 什么是 Sysmon

• Windows 上的 Sysmon

  • Sysmon 驱动程序

  • 安装与配置

• Linux 上的 Sysmon

  • sysinternalsEBPF

  • 安装与配置

• 配置

• 检测工程基础

• Sysmon 事件

  • 进程事件

    • 进程创建

    • 进程终止

    • 进程访问

  • 文件事件

    • 文件创建

    • 文件创建时间更改

    • 文件流创建哈希

    • 文件删除

    • 检测到文件删除

    • 文件阻止 EXE

    • 文件阻止粉碎

  • 命名管道

  • 驱动程序加载

  • 注册表操作

  • 映像加载

  • 网络连接

当前状态：

Microsoft Sysinternals Sysmon 是 Microsoft 免费提供给用户的一款不断变化的软件。因此，它不断更新并添加新功能。在配置方面，本指南力求尽可能开放，因为每个环境都是独一无二的，并且建议尽可能基于这些限制条件。本指南以开源方式发布，以便随着 Sysmon 的发展，社区能够帮助扩展和维护本指南。

贡献

请使用 issues 系统或 GitHub 拉取请求对文本进行更正、贡献和其他更改——我们欢迎您的贡献！

致谢

本指南由 TrustedSec LLC 的 Carlos Perez 编写、维护和编辑。

• 版权所有 2025 © TrustedSec LLC。