Sysmonは基本ウィンドウのイベントログには、限界があるプロセスの作成、ネットワーク接続などをイベント化することができます。事故対応の観点から作成されたプロセスのリストと、ネットワーク接続のログは、事故を再構成するのに非常に役立ちます。Sysmonは、別の監視ツールなしで簡単にドライバをインストールするだけで、このようなログをイベント化させてくれます。
サーバー管理者は、運営中のサーバで使用されているドライバとSysmonドライバの競合するかどうかを確認する必要があります。

1. Sysmonインストール

ysmonをインストールするには、まずPLURA Agentをインストールする必要があります。

下の画像リンクを介してダウンロードすることができます。

♦ 注意I

– 現在のSysmon公式ホームページで提供されるSysmonのインストールファイルは、OSのバージョンの制限があります。

– 公式ホームページのOSのサポートお知らせは次のとおりです。

– Windows Server 2008以下をお使いのユーザーはSysmon v3.21をインストールする必要がSysmonを使用することができます。
下のリンクページからダウンロードすることができます。

バージョン3.21のダウンロードリンク [ Sysmon v3.21 ]

 

最新版のダウンロードリンク [ Sysmon ]



解凍後Sysmonフォルダの[Shift +右クリック]をして「ここコマンドウィンドウを開く」でcmdウィンドウを開きます。

” Sysmon.exe –i [options] ” コマンドを使用してSysmonをインストールすることができます。
” Sysmon.exe -h ” コマンドを使用して、[options]のリストを見ることができます。

インストール時に-accepteulaオプションを使用すると、・ソフトウェア、ユーザーの同意であるEULA(End User License Agreement)を自動承諾された状態で設置が可能です。

Sysmonのオプション関連の説明は [ダウンロードリンク]にもよく説明されています。

♦ 参考事項 II

Windows Server 2008 バージョン以下のユーザーは以下のように実行コマンドを入力すると、sysmonが実行状態になってPLURA Agentに「SYSMON:インストール」に変更されます。

2. Sysmonイベント確認

実行すると、WindowsのサービスログのパスにSysmonログが追加されます。

%SystemRoot%\System32\Winevt\Logs\Microsoft-Windows-Sysmon%4Operational.evtx

 3. Sysmon 活用

イベントビューアで次のようにアプリケーションとサービスログ – > Microsoft-> Windows-> Sysmon-> Operationalをクリックすることができます。

 

  • Sysmon Event IDの意味は次のとおりです。
Category ID
プロセスの作成 (Process Create) 1
作成日時の変更 (File creation time changed) 2
ネットワーク接続の検出 (Network Connection Detected) 3
Sysmonサービス状態の変更 (Sysmon service state changed) 4
プロセスの停止 (Process terminated) 5
ドライバの読み込み (Driver loaded) 6
イメージの読み込み (Image loaded) 7
スレッドイベントの作成 (CreatRemoteThread) 8
Disk/Volume Read イベント (RawAccessRead*) 9

◆ SysmonログをPLURAで確認できます。.


4. SysmonログをPLURA Webページで確認することができます。

  • フィルタ検出>システム
  • 全てのログ> システム