Přeskočit obsah

Konfigurace Sysmon pro LogMan.io

Microsoft Sysinternals Sysmon poskytuje telemetrii procesů, sítě, registru a souborů. Velká část Windows Sigma detekcí a Sysmon window korelací v TeskaLabs LogMan.io Common Library na Sysmon závisí.

Stránka začíná nasazením Sysmon a doručením událostí do LogMan.io. Technická reference (event ID, detekce) následuje níže.

Příručka pro analytiky

Po příchodu Sysmon událostí ověřte vícefázové detekce podle Advanced correlation rules. Pro vlastní window pravidla viz How to write a window correlation rule.

Nasazení Sysmon

1. Instalace Sysmon

Stáhněte Sysmon a doporučenou konfiguraci LogMan.io:

sysmon-config-lmio.xml

Pro plné pokrytí detekcí je potřeba Sysmon 15.x nebo novější (schema 4.90).

Na Windows hostu v elevated příkazovém řádku nainstalujte Sysmon s touto konfigurací:

sysmon64.exe -accepteula -i sysmon-config-lmio.xml

Ověřte běžící konfiguraci:

sysmon64.exe -c

Aktualizace existující instalace

Pokud je Sysmon již nainstalován, aplikujte konfiguraci LogMan.io bez přeinstalace:

sysmon64.exe -c sysmon-config-lmio.xml

2. Ověření kanálu Windows Event

Sysmon zapisuje do kanálu Microsoft-Windows-Sysmon/Operational.

Jde o běžný kanál Windows Event Log. Otevřete ho v Event Viewer:

  1. Spusťte Event Viewer (eventvwr.msc).
  2. Přejděte na Applications and Services Logs > Microsoft > Windows > Sysmon > Operational.
  3. Po aktivitě procesů by se měly objevit nové události (například Event ID 1, vytvoření procesu).

Chybí-li kanál nebo je prázdný, Sysmon není správně nainstalován nebo neloguje.

3. Povolení čtení kanálu Sysmon pro WEF

Ve výchozím nastavení Windows Event Forwarding kanál Sysmon nečte. Na každém endpointu povolte přístup pro Network Service (a Event Log Readers):

wevtutil.exe sl Microsoft-Windows-Sysmon/Operational /ca:O:BAG:SYD:(A;;0xf0005;;;SY)(A;;0x5;;;BA)(A;;0x1;;;S-1-5-32-573)(A;;0x1;;;NS)

Stejný vzor jako pro Security log.

4. Přesměrování událostí přes WEC/WEF

Nastavte Windows Event Forwarding na LogMan.io Collector podle WEC/WEF.

Collector už zahrnuje Microsoft-Windows-Sysmon/Operational ve výchozích WEC dotazech. Sysmon query přidávejte ručně jen pokud jste výchozí hodnoty nahradili vlastním seznamem queries.

Po instalaci Sysmon a nastavení ACL kanálu by události měly téct s existující WEC subscription.

5. Ověření v LogMan.io

V Discover hledejte například:

  • we.channel:"Microsoft-Windows-Sysmon/Operational"
  • event.code:1

Nasazení přes Active Directory

U počítačů v doméně nasaďte Sysmon centrálně místo po jednom hostu.

  1. Binárky na sdílení dostupné počítačům (např. \\fileserver\lmio\sysmon\): sysmon64.exe z Sysinternals a sysmon-config-lmio.xml.

  2. Instalace přes Group Policy (startup script nebo scheduled task). GPO navázané na OU, které mají posílat Sysmon logy:

    \\fileserver\lmio\sysmon\sysmon64.exe -accepteula -i \\fileserver\lmio\sysmon\sysmon-config-lmio.xml

    Pro aktualizace použijte -c se stejnou cestou ke konfiguraci. 3. ACL kanálu Sysmon stejným GPO (startup script) příkazem wevtutil z kroku 3 v Nasazení Sysmon. 4. Znovu použijte WEC Group Policy z nastavení WEC. Při výchozích nastaveních Collectoru není potřeba samostatný Sysmon query. 5. Na pilotním hostu gpupdate /force, pak ověřte Event Viewer a Discover.

Kontrolní seznam nasazení

  1. Sysmon 15+ s sysmon-config-lmio.xml
  2. Události viditelné v Event Viewer pod Sysmon / Operational
  3. ACL wevtutil povoluje Network Service číst kanál Sysmon
  4. WEC/WEF míří na LogMan.io Collector (nastavení WEC)
  5. Události v Discover (event.code:1, Sysmon we.channel)
  6. Volitelně ověřte ransomware / trojan pravidla v analytické příručce

Reference

Důležitá Windows event ID

Doporučená konfigurace zapíná Sysmon Event ID používaná detekcemi TeskaLabs LogMan.io Common Library. Počty se mění s knihovnou; tabulka je orientační.

Event ID Typ Poznámky
1 Vytvoření procesu Většina Windows Sigma pravidel a Sysmon korelací
2 Změna času vytvoření souboru
3 Síťové spojení Používá i Responder korelace
4 Stav služby Sysmon Vždy emitováno
6 Načtený driver
7 Načtený image Vysoký objem; některé korelace
8 CreateRemoteThread
9 RawAccessRead
10 Přístup k procesu Vysoký objem
11 Vytvořený soubor Ransomware / trojan řetězce
12-14 Registry události
15 FileCreateStreamHash
16 Změna konfigurace Sysmon Vždy emitováno
17-18 Pipe created / connected
19-21 WMI události
22 DNS dotaz Používá i Responder korelace
23 / 26 Smazání souboru
25 Process tampering
27 / 28 File block executable / shredding Ochranné; v dodávané konfiguraci vypnuto
29 / 30 File executable detected Vyžaduje Sysmon 15+
255 Chyba

Event ID 5 (ukončení procesu) a 24 (clipboard) Common Library ruleset nevyžaduje.

Související detekce

Cesta v knihovně Role
/Correlations/Microsoft/Sysmon/* Sysmon window korelace
/Correlations/Advanced/* Vícefázové řetězce využívající Sysmon / Security
/Correlations/Microsoft/Windows/Responder Machine Name Detected.yaml Sysmon EID 3, 22 a Security 5156

Laboratorní postupy: Advanced correlation rules.

Ransomware fáze 2

Některé ransomware korelace potřebují také Windows Security audit souborového systému (4663 / 4656 / …), nejen Sysmon Event ID 11. Viz Advanced correlation rules.

Co Sysmon nepokrývá

Zapněte zvlášť, pokud potřebujete odpovídající Sigma nebo korelace:

  • Windows Security auditing: Security log a Advanced Audit Policy
  • PowerShell Script Block / Operational logging
  • Vendor EDR nebo jiné ETW kanály (Sysmon nenahrazuje)

Viz také