Sysmon(sysinternals)

Sysmonは、デフォルトのWindowsのイベントログでは限界があるプロセスの作成、ネットワーク接続などをイベント化できます。事故対応の観点から作成されたプロセスのリストとネットワーク接続のログだけでは事故を再構築することが非常に難しいことになります。 Sysmonは、別の監視ツールなしでドライバをインストールするだけで、このようなログをイベント化させます。

◆ Sysmonインストール

 

PLURAエージェント拡張機能のインストールガイド

 

-Sysmonをインストールするには、まずPluraAgentをインストールする必要があります。
– 下のパスからダウンロードできます。

[Sysmon最新バージョン]
%ec%8a%a4%ed%81%ac%eb%a6%b0%ec%83%b7-2016-11-30-160401

[Sysmon v3.21]
sysmon3-21

– Unzipした後、SysmonフォルダをCドライブに移動させて実行するとデバイスドライバとしてインストールされ、動作します。
   Cmdウィンドウを「管理者権限」で開いて以下のように実行します。

C:\Sysmon>Sysmon.exe

Sysinternals Sysmon v4.21 – System activity monitor
Copyright (C) 2014 Mark Russinovich and Thomas Garnier
Sysinternals – www.sysinternals.com

Usage:
Install: Sysmon.exe -i [-h [sha1|md5|sha256]] [-n]
Configure: Sysmon.exe -c [[-h [sha1|md5|sha256]] [-n]|–]
Uninstall: Sysmon.exe -u

-c Update configuration of an installed Sysmon driver or dump the current configuration if no other argument is provided. Optionally take a configuration file.
-h Specify the hash algorithms used for image identification (default is SHA1). It supports multiple algorithms at the same time. Configuration entry: HashAlgorithms.
-i Install service and driver. Optionally take a configuration file.
-l Log loading of modules. Optionally take a list of processes to track.
-m Install the event manifest (done on service install as well).
-n Log network connections. Optionally take a list of processes to track.
-r Check for signature certificate revocation. Configuration entry: CheckRevocation.
-u Uninstall service and driver.

Sysmonのオプションの説明は、 Microsoftのダウンロードページ にも記載されています。span>

  • 次のように実行コマンドを入力すると、sysmonが実行され、PluraAgentの上部に
    「SYSMON:インストール済み」と表示されます。

◆ Sysmonイベントを確認

プロセスの作成、プロセスイメージのSHA1ハッシュ値、ネットワーク接続をログに記録するには、次のようにオプションを入れてインストールします。

C:\Sysmon>Sysmon -i -h sha1 -n -l

sysmon%ec%84%a4%ec%b9%98%ec%88%98%ec%a0%95

sysmon1

実行すると、WindowsサービスのログのパスにSysmonログが追加されます。

%SystemRoot%\System32\Winevt\Logs\Microsoft-Windows-Sysmon%4Operational.evtx

sysmon2

◆ Sysmonの活用

イベントビューアで次のようにアプリケーションとサービスログ->Microsoft->Windows->Sysmon->Operational をクリックできます。

sysmon3

Sysmon Event ID の意味は次のとおりです。

Category ID
プロセスの作成 (Process Create) 1
作成日時の変更 (File creation time changed) 2
ネットワーク接続の検出 (Network Connection Detected) 3
Sysmonサービス状態の変更 (Sysmon service state changed) 4
プロセスの停止 (Process terminated) 5
ドライバの読み込み (Driver loaded) 6
イメージの読み込み (Image loaded) 7
スレッドイベントの作成 (CreatRemoteThread) 8
Disk/Volume Read イベント (RawAccessRead*) 9

◆ SysmonログをPLURAで確認できます。.

sysmon4

By | 2018-01-22T10:15:04+00:00 November 30th, 2016|Categories: インストールガイド|0 Comments

About the Author: