Komplet guide til konfiguration af Sysmon på Windows Server og Windows 11

Universelt eventyr » Windows 11 » Komplet guide til konfiguration af Sysmon på Windows Server og Windows 11

Hvis du arbejder med cybersikkerhed eller administrerer servere, ved du, at standard Windows-logfiler nogle gange ikke lever op til forventningerne. Det er her, Sysmon (System Monitor) kommer ind i billedet, en perle fra Sysinternals-pakken, der fungerer som en stille vagthund, der logger alle mistænkelige bevægelser på systemet uden at blokere processer, men giver dig utrolig indsigt i, hvad der sker under motorhjelmen.

Det mest interessante er, at selvom Microsoft allerede har integreret det som en valgfri funktion i Windows 11 og Server 2025 , er det som standard deaktiveret. For at udnytte det er det ikke nok blot at trykke på knappen; du skal vide, hvordan du konfigurerer det, så det ikke fylder din disk med uønskede filer og leverer data, der rent faktisk er nyttige til retsmedicinsk analyse eller til at forsyne en SIEM.

Hvad er Sysmon præcist, og hvad kan det gøre for dig?

Grundlæggende er det en tjeneste og enhedsdriver, der forbliver i systemet, selv efter at computeren genstartes. Dens formål er at overvåge systemaktivitet og logge disse data i Windows-hændelsesloggen. I modsætning til antivirussoftware scanner Sysmon ikke for ondsindet aktivitet eller forhindrer den i at køre; den logger blot detaljeret telemetri, så du eller dit analyseværktøj kan opdage uregelmæssigheder.

• Procesoprettelse: Den registrerer hele kommandolinjen, hvilket er rent guld til at detektere obfuskerede kommandoer i PowerShell.
• Netværksforbindelser: Den registrerer, hvem der opretter forbindelse til hvilken IP-adresse og port, hvilket muliggør sporing af kommunikation med kommando- og kontrolservere (C2).
• Digitale fingeraftryk (Hashes): Generer MD5-, SHA1-, SHA256- eller IMPHASH-hashes af eksekverbare filer for at sammenligne dem med malware-databaser.
• Filhåndtering: Registrerer, når nogen forsøger at ændre oprettelsesdatoen for en fil (en teknik kendt som timestomping).
• Adgang til registreringsdatabasen og DLL'er: Overvåg driverindlæsning og ændringer i registreringsdatabasens persistensnøgle.

Krav og forudgående kontrol

Før du skynder dig at installere det, er der én afgørende detalje: den integrerede version af Windows Den passer ikke godt sammen med den separate version. fra Sysinternals. Hvis du har den separate version installeret, skal du først afinstallere den for at undgå konflikter. For at kontrollere, om du allerede har noget kørende, kan du åbne PowerShell som administrator og køre Get-Service sysmon*Hvis der ikke dukker noget op, har du en klar vej.

For dem, der bruger moderne versioner, kan du kontrollere kompatibiliteten med kommandoen Get-WindowsOptionalFeature -Online -FeatureName SysmonHusk at du til enhver operation af denne type skal bruge administratorrettigheder i holdet.

Trin til installation og aktivering

Hvis du vælger den version, der er integreret i Windows 11 eller Server 2025, er processen ret ligetil. Først skal du aktiver den valgfrie funktion ved hjælp af kommandoen Enable-WindowsOptionalFeature -Online -FeatureName SysmonNår dette er gjort, genererer tjenesten stadig ikke data, før du formelt installerer den.

Til en grundlæggende installation kan du bruge sysmon -iIdeelt set bør du dog gøre dette ved hjælp af en konfigurationsfil. Hvis du vil springe licensadvarslen over, skal du tilføje parameteren -accepteula. For eksempel sysmon -accepteula -i C:\config.xml Det vil gøre alting operationelt fra første sekund.

Beherskelse af XML-konfigurationsfiler

Det er her, problemet kommer frem. Hvis du lader Sysmon være med standardindstillingerne, vil du generere en absurd mængde logs. Nøglen ligger i XML-konfigurationsfilen , hvor du definerer, hvilke hændelser du vil inkludere, og hvilke du vil ignorere (udelukkelsesfiltre).

Der findes konfigurationer, der vedligeholdes af fællesskabet, og som er branchestandarden, såsom dem fra SwiftOnSecurity eller Olaf Hartong (sysmon-modular) . Disse lister er allerede optimeret til at indfange det, der virkelig betyder noget, og fjerne den sædvanlige støj fra operativsystemet.

I XML kan du lege med tags som f.eks. ProcessCreate o NetworkConnect. Hvis du bruger onmatch="udelukk"Du beder Sysmon om at ignorere alt, der matcher den regel; hvis du bruger includeDen registrerer kun det, du angiver. Glem ikke, at ændringer i XML-filen anvendes dynamisk med sysmon -c ruta\config.xml uden at skulle genstarte maskinen.

Avanceret implementering i domænemiljøer (Active Directory)

Hvis du administrerer en flåde af servere, der kører Windows Server 2025, ønsker du ikke at installere Sysmon på hver enkelt pc individuelt. Den smarteste fremgangsmåde er at bruge Gruppepolitik (GPO) og Windows Event Forwarding (WEF). Du kan placere konfigurationsfilen i NETLOGON- mappen , så alle klienter downloader den automatisk.

For at centralisere logfilerne skal du konfigurere en hændelsesindsamler ved at køre wecutil.exe qc /q på serveren og åbn porten TCP 5985 (WinRM) i firewallen. Ved hjælp af et GPO fortæller du klienter, hvem indsamlerserveren er, og aktiverer avancerede revisionsunderkategorier for at sikre en konstant og gnidningsløs datastrøm.

Hændelsesordbog: Hvad betyder disse ID'er?

Når du åbner Logbogen i Applications and Services Logs > Microsoft > Windows > Sysmon > OperationalDu vil se en liste over ID'er. Her er de vigtigste, så du ikke går glip af dem:

• ID 1 (Procesoprettelse): Nogen har startet et program. Inkluder stien og argumenterne.
• ID 3 (netværksforbindelse): En applikation har oprettet forbindelse til netværket.
• ID 7 (Billede indlæst): En DLL er blevet indlæst i en proces. Vær forsigtig her, det kan generere en masse støj.
• ID 11 (Oprettelse af fil): En fil er blevet oprettet eller overskrevet, ideel til overvågning af midlertidige mapper.
• ID 13 (Registerhændelse): En værdi i registreringsdatabasen er blevet ændret, en typisk nøgle til malware-vedholdenhed.
• ID 22 (DNS-forespørgsel): Systemet har bedt om et domæne. Dette er afgørende for at kunne detektere beaconing.

Validering og vedligeholdelse

For at sikre, at alt fungerer korrekt, er den enkleste fremgangsmåde at udløse en hændelse. For eksempel skal du åbne regedit.exe eller køre en PowerShell-kommando og kontrollere, at ID 1 vises på collector-serveren eller i den lokale fremviser. Hvis du bemærker, at logvolumenet er uhåndterligt, er det tid til at justere udelukkelsesfiltrene i din XML-fil.

Med hensyn til opdateringer, hvis du bruger den indbyggede version, håndterer Microsoft alt via Windows Updates . Sikkerhedsforbedringer kommer i form af månedlige programrettelser, og funktionelle forbedringer i form af kvalitetsopdateringer, uden at du behøver at geninstallere tjenesten eller miste dine brugerdefinerede indstillinger.

At have Sysmon korrekt implementeret er som at gå fra at se et mørkt rum til at tænde lyset. Det giver dig mulighed for at spore alt fra udførelsen af ​​et base64-kodet PowerShell-script til oprettelsen af ​​en mistænkelig login-nøgle, alt sammen centraliseret og klar til analyse. Ved at kombinere denne telemetri med en SIEM- eller hændelsesindsamler omdanner du en samling af isolerede logs til en proaktiv forsvarsstrategi , der er i stand til at opdage ubudne gæster, før det er for sent.