- Sysmon is een geavanceerd telemetrieprogramma dat kritieke systeemactiviteiten vastlegt in de Windows Logboeken.
- De implementatie ervan maakt het mogelijk om laterale bewegingen, de uitvoering van kwaadaardige code en verdachte wijzigingen in het register of bestanden te detecteren.
- De effectiviteit van het systeem hangt af van een XML-configuratiebestand dat ruis filtert en prioriteit geeft aan gebeurtenissen met een hoge nauwkeurigheid.
Als je in de cybersecurity werkt of servers beheert, weet je dat standaard Windows-logboeken soms tekortschieten. Hier komt Sysmon (System Monitor) van pas , een pareltje uit de Sysinternals-suite dat fungeert als een stille waakhond. Het registreert elke verdachte activiteit op het systeem zonder processen te blokkeren, maar geeft je wel een ongelooflijk inzicht in wat er zich onder de motorkap afspeelt.
Het meest interessante is dat, hoewel Microsoft het al als optionele functie in Windows 11 en Server 2025 heeft geïntegreerd , het standaard is uitgeschakeld. Om er gebruik van te maken, is het niet voldoende om de schakelaar om te zetten; je moet weten hoe je het configureert, zodat het je schijf niet volgooit met ongewenste bestanden en gegevens levert die daadwerkelijk bruikbaar zijn voor forensische analyse of voor een SIEM-systeem.
Wat is Sysmon precies en wat kan het voor u betekenen?
Het is in feite een service en apparaatstuurprogramma dat actief blijft, zelfs na een herstart van de computer. Het doel ervan is om de systeemactiviteit te bewaken en die gegevens vast te leggen in het Windows-gebeurtenislogboek. In tegenstelling tot antivirussoftware scant Sysmon niet op kwaadaardige activiteiten en voorkomt het ook niet dat deze worden uitgevoerd; het registreert simpelweg gedetailleerde telemetriegegevens zodat u, of uw analysetool, afwijkingen kunt detecteren.
- Procescreatie: Het legt de volledige opdrachtregel vast, wat goud waard is voor het opsporen van versleutelde opdrachten in PowerShell.
- Netwerk connecties: Het registreert wie verbinding maakt met welk IP-adres en welke poort, waardoor de communicatie met command-and-control (C2)-servers kan worden gevolgd.
- Digitale vingerafdrukken (hashes): Genereer MD5-, SHA1-, SHA256- of IMPHASH-hashes van uitvoerbare bestanden om ze te vergelijken met malwaredatabases.
- Bestandsmanipulatie: Detecteert wanneer iemand probeert de aanmaakdatum van een bestand te wijzigen (een techniek die bekend staat als timestomping).
- Toegang tot het register en DLL's: Monitor wijzigingen in het laden van stuurprogramma's en de persistentie van registergegevens.
Vereisten en voorafgaande controles
Voordat je het installeert, is er één cruciaal detail: de geïntegreerde versie van Windows. Het werkt niet goed samen met de standalone-versie. van Sysinternals. Als je de standalone-versie hebt geïnstalleerd, moet je die eerst verwijderen om conflicten te voorkomen. Om te controleren of er al iets actief is, kun je PowerShell als beheerder openen en het volgende uitvoeren: Get-Service sysmon*Als er niets opduikt, ligt de weg vrij.
Voor gebruikers van moderne versies is het mogelijk om de compatibiliteit te controleren met het commando. Get-WindowsOptionalFeature -Online -FeatureName SysmonHoud er rekening mee dat u voor elke handeling van dit type het volgende nodig heeft: Beheerdersrechten in het team.
Stappen voor installatie en activering
Als u kiest voor de versie die is geïntegreerd in Windows 11 of Server 2025, is het proces vrij eenvoudig. Eerst moet u schakel de optionele functie in met behulp van de opdracht Enable-WindowsOptionalFeature -Online -FeatureName SysmonZelfs nadat dit is gedaan, genereert de service nog geen gegevens totdat u deze formeel installeert.
Voor een basisinstallatie kunt u gebruikmaken van sysmon -iIdealiter doe je dit echter via een configuratiebestand. Als je de licentiewaarschuwing wilt overslaan, voeg dan de parameter toe. -accepteula. Bijvoorbeeld sysmon -accepteula -i C:\config.xml Het zorgt ervoor dat alles vanaf de allereerste seconde operationeel is.
XML-configuratiebestanden onder de knie krijgen
Hier komt het echte probleem aan het licht. Als je Sysmon met de standaardinstellingen laat staan, genereer je een absurd grote hoeveelheid logbestanden. De sleutel zit hem in het XML-configuratiebestand , waarin je definieert welke gebeurtenissen je wilt opnemen en welke je wilt negeren (uitsluitingsfilters).
Er bestaan door de community onderhouden configuraties die als industriestandaard gelden, zoals die van SwiftOnSecurity of Olaf Hartong (sysmon-modular) . Deze lijsten zijn al geoptimaliseerd om vast te leggen wat er echt toe doet en de gebruikelijke ruis van het besturingssysteem te verwijderen.
Binnen XML kun je spelen met tags zoals ProcessCreate o NetworkConnect. Als u gebruikt onmatch="exclude"Je geeft Sysmon de opdracht om alles te negeren wat aan die regel voldoet; als je dat doet, gebruik dan Sysmon. includeHet registreert alleen wat u specificeert. Vergeet niet dat wijzigingen in de XML dynamisch worden toegepast. sysmon -c ruta\config.xml zonder dat de machine opnieuw hoeft te worden opgestart.
Geavanceerde implementatie in domeinomgevingen (Active Directory)
Als u een serverpark beheert met Windows Server 2025, wilt u Sysmon niet op elke pc afzonderlijk installeren. De slimste aanpak is om Groepsbeleid (GPO) en Windows Gebeurtenisdoorsturing (WEF) te gebruiken. U kunt het configuratiebestand in de NETLOGON- map plaatsen , zodat alle clients het automatisch downloaden.
Om de logboeken te centraliseren, moet u een gebeurtenisverzamelaar configureren door het volgende commando uit te voeren: wecutil.exe qc /q op de server en open de poort TCP 5985 (WinRM) In de firewall. Met behulp van een GPO kunt u clients laten weten wie de collectorserver is en geavanceerde audit-subcategorieën activeren om een constante en soepele gegevensstroom te garanderen.
Gebeurteniswoordenboek: Wat betekenen die ID's?
Wanneer u de Logboeken opent in Applications and Services Logs > Microsoft > Windows > Sysmon > OperationalJe ziet een lijst met ID's. Hieronder staan de belangrijkste, zodat je ze niet over het hoofd ziet:
- ID 1 (Proces aanmaken): Iemand heeft een programma gestart. Vermeld het pad en de argumenten.
- ID 3 (Netwerkverbinding): Een applicatie heeft verbinding gemaakt met het netwerk.
- ID 7 (Afbeelding geladen): Er is een DLL-bestand in een proces geladen. Wees hier voorzichtig, dit kan veel ruis veroorzaken.
- ID 11 (Bestand aanmaken): Er is een bestand aangemaakt of overschreven, ideaal voor het bewaken van tijdelijke mappen.
- ID 13 (Registratiegebeurtenis): Een registerwaarde is gewijzigd, een typische sleutel voor de persistentie van malware.
- ID 22 (DNS-query): Het systeem heeft om een domein gevraagd. Dit is essentieel voor het detecteren van beaconing.
Validatie en onderhoud
Om er zeker van te zijn dat alles correct werkt, is de eenvoudigste aanpak het activeren van een gebeurtenis. Open bijvoorbeeld regedit.exe of voer een PowerShell-opdracht uit en controleer of ID 1 verschijnt op de collectorserver of in de lokale viewer. Als u merkt dat het logvolume onbeheerbaar is, is het tijd om de uitsluitingsfilters in uw XML-bestand aan te passen.
Wat betreft updates: als u de ingebouwde versie gebruikt, regelt Microsoft alles via Windows Updates . Beveiligingsverbeteringen worden maandelijks doorgevoerd met patches en functionele verbeteringen met kwaliteitsupdates, zonder dat u de service opnieuw hoeft te installeren of uw aangepaste instellingen hoeft te verliezen.
Een correcte implementatie van Sysmon is als het aanzetten van het licht in een donkere kamer. Het stelt je in staat om alles te volgen, van de uitvoering van een base64-gecodeerd PowerShell-script tot het aanmaken van een verdachte inlogsleutel, allemaal gecentraliseerd en klaar voor analyse. Door deze telemetrie te combineren met een SIEM of event collector, transformeer je een verzameling geïsoleerde logs in een proactieve verdedigingsstrategie die indringers kan detecteren voordat het te laat is.