Udhëzues i plotë për konfigurimin e Sysmon në Windows Server dhe Windows 11

Aventurë Universale » Dritaret 11 » Udhëzues i plotë për konfigurimin e Sysmon në Windows Server dhe Windows 11

Nëse punoni në sigurinë kibernetike ose menaxhoni servera, e dini që regjistrat standardë të Windows ndonjëherë dështojnë. Këtu hyn në lojë Sysmon (System Monitor) , një perlë nga paketa Sysinternals që vepron si një mbikëqyrës i heshtur, duke regjistruar çdo lëvizje të dyshimtë në sistem pa bllokuar proceset, por duke ju dhënë një pamje të jashtëzakonshme të asaj që po ndodh nën kapak.

Gjëja më interesante është se, megjithëse Microsoft e ka integruar tashmë si një veçori opsionale në Windows 11 dhe Server 2025 , ajo vjen e çaktivizuar si parazgjedhje. Për ta përfituar nga kjo, thjesht hapja e butonit nuk mjafton; duhet të dini si ta konfiguroni në mënyrë që të mos e mbushë diskun tuaj me skedarë të panevojshëm dhe të ofrojë të dhëna që janë në të vërtetë të dobishme për analiza mjeko-ligjore ose për të ushqyer një SIEM.

Çfarë është saktësisht Sysmon dhe çfarë mund të bëjë për ju?

Në thelb, është një shërbim dhe një drajver pajisjeje që mbetet i pranishëm edhe pas rinisjes së kompjuterit. Qëllimi i tij është të monitorojë aktivitetin e sistemit dhe t'i regjistrojë ato të dhëna në regjistrin e ngjarjeve të Windows. Ndryshe nga softueri antivirus, Sysmon nuk skanon për aktivitet dashakeq dhe as nuk e parandalon atë që të funksionojë; ai thjesht regjistron telemetrinë e detajuar në mënyrë që ju ose mjeti juaj i analizës të mund të zbuloni anomalitë.

• Krijimi i procesit: Ai kap të gjithë rreshtin e komandës, i cili është ari i pastër për zbulimin e komandave të turbullta në PowerShell.
• Lidhjet e rrjetit: Ai regjistron se kush lidhet me cilën IP dhe port, duke lejuar gjurmimin e komunikimeve me serverat e komandës dhe kontrollit (C2).
• Gjurmët dixhitale të gishtërinjve (Hash-e): Gjeneroni hash-e MD5, SHA1, SHA256 ose IMPHASH të skedarëve ekzekutues për t'i krahasuar ato me bazat e të dhënave të malware-it.
• Manipulimi i skedarëve: Zbulon kur dikush përpiqet të ndryshojë datën e krijimit të një skedari (një teknikë e njohur si timestomping).
• Qasja në regjistër dhe DLL: Monitoroni ngarkimin e drajverëve dhe ndryshimet e çelësit të qëndrueshmërisë së regjistrit.

Kërkesat dhe kontrollet paraprake

Para se të nxitoheni ta instaloni, ka një detaj të rëndësishëm: versioni i integruar i Windows-it Nuk shkon mirë me versionin e pavarur. nga Sysinternals. Nëse keni instaluar versionin e pavarur, do t'ju duhet ta çinstaloni më parë për të shmangur konfliktet. Për të kontrolluar nëse keni diçka që funksionon tashmë, mund të hapni PowerShell si administrator dhe të ekzekutoni Get-Service sysmon*Nëse nuk ndodh asgjë, rruga është e qartë për ju.

Për ata që përdorin versione moderne, mund të kontrolloni përputhshmërinë me komandën Get-WindowsOptionalFeature -Online -FeatureName SysmonMbani mend se për çdo operacion të këtij lloji do t'ju duhet privilegjet e administratorit në ekip.

Hapat për instalim dhe aktivizim

Nëse zgjidhni versionin e integruar në Windows 11 ose Server 2025, procesi është mjaft i thjeshtë. Së pari, duhet të aktivizoni veçorinë opsionale duke përdorur komandën Enable-WindowsOptionalFeature -Online -FeatureName SysmonPasi të bëhet kjo, shërbimi prapë nuk gjeneron të dhëna derisa ta instaloni zyrtarisht.

Për një instalim bazë, mund të përdorni sysmon -iMegjithatë, idealisht duhet ta bëni këtë duke përdorur një skedar konfigurimi. Nëse doni të anashkaloni paralajmërimin e licencës, shtoni parametrin -pranim. Për shembull, sysmon -accepteula -i C:\config.xml Do ta bëjë gjithçka funksionale që nga sekonda e parë.

Masterizimi i skedarëve të konfigurimit XML

Këtu del në pah thelbi. Nëse e lini Sysmon me cilësimet e tij fillestare, do të gjeneroni një sasi absurde regjistrash. Çelësi qëndron në skedarin e konfigurimit XML , ku përcaktoni se cilat ngjarje dëshironi të përfshini dhe cilat dëshironi të injoroni (filtrat e përjashtimit).

Ekzistojnë konfigurime të mirëmbajtura nga komuniteti që janë standardi i industrisë, siç janë ato nga SwiftOnSecurity ose Olaf Hartong (sysmon-modular) . Këto lista janë tashmë të optimizuara për të kapur atë që ka vërtet rëndësi dhe për të hequr qafe zhurmën e zakonshme të sistemit operativ.

Brenda XML-it, mund të luani me etiketa si ProcessCreate o NetworkConnect. Nëse e përdorni onmatch="përjashto"I thua Sysmonit të injorojë gjithçka që përputhet me atë rregull; nëse përdor includeDo të regjistrojë vetëm atë që specifikoni. Mos harroni se ndryshimet në XML aplikohen në mënyrë dinamike me sysmon -c ruta\config.xml pa pasur nevojë të ristartoni makinën.

Vendosje e avancuar në mjedise domeni (Active Directory)

Nëse menaxhoni një flotë serverash që përdorin Windows Server 2025, nuk doni të instaloni Sysmon në secilin PC individualisht. Qasja më e zgjuar është të përdorni Politikën e Grupit (GPO) dhe Përcjelljen e Ngjarjeve të Windows (WEF). Mund ta vendosni skedarin e konfigurimit në dosjen NETLOGON në mënyrë që të gjithë klientët ta shkarkojnë automatikisht.

Për të centralizuar regjistrat, duhet të konfiguroni një koleksionist ngjarjesh duke ekzekutuar wecutil.exe qc /q në server dhe hap portin TCP 5985 (WinRM) në firewall. Duke përdorur një GPO, ju u tregoni klientëve se kush është serveri i kolektorit dhe aktivizoni nënkategoritë e auditimit të avancuar për të siguruar një rrjedhë të vazhdueshme dhe të qetë të të dhënave.

Fjalori i Ngjarjeve: Çfarë domethënie kanë këto ID?

Kur hapni Shikuesin e Ngjarjeve në Applications and Services Logs > Microsoft > Windows > Sysmon > OperationalDo të shihni një listë me ID-të. Ja cilat janë më të rëndësishmet, në mënyrë që të mos i humbisni:

• ID 1 (Krijimi i Procesit): Dikush ka nisur një program. Përfshi rrugën dhe argumentet.
• ID 3 (Lidhja e Rrjetit): Një aplikacion është lidhur me rrjetin.
• ID 7 (Imazhi i ngarkuar): Një DLL është ngarkuar në një proces. Kini kujdes këtu, mund të gjenerojë shumë zhurmë.
• ID 11 (Krijimi i skedarit): Një skedar është krijuar ose mbishkruar, ideal për monitorimin e dosjeve të përkohshme.
• ID 13 (Ngjarja e Regjistrit): Një vlerë regjistri është modifikuar, një çelës tipik për qëndrueshmërinë e programeve keqdashëse.
• ID 22 (Pyetje DNS): Sistemi ka kërkuar një domen. Kjo është thelbësore për zbulimin e sinjalizimit.

Validimi dhe mirëmbajtja

Për t'u siguruar që gjithçka funksionon siç duhet, qasja më e thjeshtë është të aktivizoni një ngjarje. Për shembull, hapni regedit.exe ose ekzekutoni një komandë PowerShell dhe verifikoni që ID 1 shfaqet në serverin e kolektorit ose në shikuesin lokal. Nëse vini re se vëllimi i regjistrit është i papërballueshëm, është koha të rregulloni filtrat e përjashtimit në skedarin tuaj XML.

Lidhur me përditësimet, nëse përdorni versionin e integruar, Microsoft trajton gjithçka përmes Windows Updates . Përmirësimet e sigurisë vijnë në patch-e mujore dhe përmirësime funksionale në përditësimet e cilësisë, pa pasur nevojë të riinstaloni shërbimin ose të humbisni cilësimet tuaja të personalizuara.

Të kesh Sysmon-in të implementuar siç duhet është si të kalosh nga të parit të një dhome të errët në ndezjen e dritës. Ai të lejon të gjurmosh gjithçka, nga ekzekutimi i një skripti PowerShell të koduar në base64 deri te krijimi i një çelësi të dyshimtë hyrjeje, të gjitha të centralizuara dhe gati për analizë. Duke kombinuar këtë telemetri me një SIEM ose koleksionues ngjarjesh, ti transformon një koleksion regjistrash të izoluar në një strategji mbrojtëse proaktive të aftë për të zbuluar ndërhyrësit para se të jetë tepër vonë.