- Sysmon, Windows Olay Görüntüleyicisi'nde kritik sistem etkinliklerini kaydeden gelişmiş bir telemetri aracıdır.
- Bu uygulamanın hayata geçirilmesi, yatay hareketleri, kötü amaçlı kod yürütülmesini ve kayıt defterinde veya dosyalarda şüpheli değişiklikleri tespit etmeyi mümkün kılar.
- Sistemin etkinliği, gereksiz bilgileri filtreleyen ve yüksek doğruluklu olaylara öncelik veren bir XML yapılandırma dosyasına bağlıdır.
Siber güvenlik alanında çalışıyorsanız veya sunucu yönetiyorsanız, standart Windows günlüklerinin bazen yetersiz kaldığını bilirsiniz. İşte burada Sysinternals paketinin bir mücevheri olan Sysmon (Sistem İzleyici) devreye giriyor ; sessiz bir bekçi köpeği gibi davranarak, işlemleri engellemeden sistemdeki her şüpheli hareketi kaydediyor ve size arka planda neler olup bittiğine dair inanılmaz bir görünürlük sağlıyor.
En ilginç olanı ise, Microsoft bunu Windows 11 ve Server 2025'te isteğe bağlı bir özellik olarak entegre etmiş olmasına rağmen , varsayılan olarak devre dışı bırakılmış olmasıdır. Bundan yararlanmak için, sadece düğmeyi çevirmek yeterli değildir; diskinizi gereksiz dosyalarla doldurmaması ve adli analiz veya SIEM'e veri sağlamak için gerçekten yararlı veriler sunması için nasıl yapılandırılacağını bilmeniz gerekir.
Sysmon tam olarak nedir ve sizin için neler yapabilir?
Temelde, bilgisayar yeniden başlatıldıktan sonra bile sistemde kalan bir hizmet ve aygıt sürücüsüdür. Amacı, sistem etkinliğini izlemek ve bu verileri Windows olay günlüğüne kaydetmektir. Antivirüs yazılımlarının aksine, Sysmon kötü amaçlı etkinlikleri taramaz veya çalışmasını engellemez; yalnızca ayrıntılı telemetri verilerini kaydeder, böylece siz veya analiz aracınız anormallikleri tespit edebilirsiniz.
- Süreç oluşturma: Bu özellik, komut satırının tamamını yakalar; bu da PowerShell'de gizlenmiş komutları tespit etmek için paha biçilmez bir değer taşır.
- Ağ bağlantıları: Hangi IP adresine ve porta kimin bağlandığını kaydederek, komuta ve kontrol (C2) sunucularıyla yapılan iletişimin izlenmesine olanak tanır.
- Dijital parmak izleri (Karma değerler): Çalıştırılabilir dosyaların MD5, SHA1, SHA256 veya IMPHASH özetlerini oluşturarak bunları kötü amaçlı yazılım veritabanlarıyla karşılaştırın.
- Dosya yönetimi: Birisi dosyanın oluşturulma tarihini değiştirmeye çalıştığında (zaman damgalama olarak bilinen bir teknik) bunu algılar.
- Kayıt defterine ve DLL'lere erişim: Sürücü yüklemesini ve kayıt defteri kalıcılık anahtarı değişikliklerini izleyin.
Gereksinimler ve ön kontroller
Yüklemeye başlamadan önce, çok önemli bir ayrıntı var: Windows'un entegre sürümü. Bağımsız sürümle pek iyi geçinmiyor. Sysinternals'tan. Eğer bağımsız sürümü yüklüyse, çakışmaları önlemek için önce onu kaldırmanız gerekecek. Zaten çalışan bir şey olup olmadığını kontrol etmek için, PowerShell'i yönetici olarak açıp şu komutu çalıştırabilirsiniz: Get-Service sysmon*Hiçbir şey çıkmazsa, önünüzde açık bir yol var.
Modern sürümleri kullananlar, uyumluluğu şu komutla kontrol edebilirler: Get-WindowsOptionalFeature -Online -FeatureName SysmonUnutmayın ki, bu tür bir işlem için şunlara ihtiyacınız olacak: yönetici ayrıcalıkları Takımda.
Kurulum ve etkinleştirme adımları
Windows 11 veya Server 2025'e entegre edilmiş sürümü tercih ederseniz, işlem oldukça basittir. İlk olarak, şunları yapmalısınız: isteğe bağlı özelliği etkinleştirin komutu kullanarak Enable-WindowsOptionalFeature -Online -FeatureName SysmonBu işlem tamamlandıktan sonra bile, hizmeti resmi olarak kurana kadar veri üretmez.
Basit bir kurulum için şunları kullanabilirsiniz: sysmon -iAncak, ideal olarak bunu bir yapılandırma dosyası kullanarak yapmalısınız. Lisans uyarısını atlamak istiyorsanız, parametreyi ekleyin. -kabul. Örneğin, sysmon -accepteula -i C:\config.xml Her şey ilk saniyeden itibaren çalışır hale gelecek.
XML yapılandırma dosyalarına hakim olmak
İşte asıl mesele burada ortaya çıkıyor. Sysmon'u varsayılan ayarlarıyla bırakırsanız, inanılmaz miktarda log dosyası oluşturursunuz. Anahtar nokta, hangi olayları dahil etmek istediğinizi ve hangilerini yok saymak istediğinizi (hariç tutma filtreleri) tanımladığınız XML yapılandırma dosyasında yatmaktadır.
SwiftOnSecurity veya Olaf Hartong (sysmon-modular) gibi topluluk tarafından sürdürülen ve sektör standardı olan yapılandırmalar mevcuttur . Bu listeler, gerçekten önemli olanı yakalamak ve işletim sisteminin olağan gürültüsünü ortadan kaldırmak için zaten optimize edilmiştir.
XML içerisinde etiketlerle oynayabilirsiniz, örneğin: ProcessCreate o NetworkConnect. Eğer kullanırsan onmatch="hariç tut"Sysmon'a bu kurala uyan her şeyi yok saymasını söylersiniz; eğer şunu kullanırsanız: includeYalnızca belirttiğiniz verileri kaydedecektir. XML'deki değişikliklerin dinamik olarak uygulandığını unutmayın. sysmon -c ruta\config.xml Makineyi yeniden başlatmaya gerek kalmadan.
Etki Alanı Ortamlarında (Active Directory) Gelişmiş Dağıtım
Windows Server 2025 çalıştıran bir sunucu filosunu yönetiyorsanız, Sysmon'u her bilgisayara ayrı ayrı kurmak istemezsiniz. En akıllı yaklaşım, Grup İlkesi (GPO) ve Windows Olay İletme (WEF) kullanmaktır. Yapılandırma dosyasını NETLOGON klasörüne yerleştirerek tüm istemcilerin otomatik olarak indirmesini sağlayabilirsiniz.
Günlükleri merkezileştirmek için, aşağıdaki komutu çalıştırarak bir olay toplayıcı yapılandırmanız gerekir. wecutil.exe qc /q sunucuda ve bağlantı noktasını açın. TCP 5985 (WinRM) Güvenlik duvarında. Bir GPO kullanarak, istemcilere veri toplama sunucusunun kim olduğunu bildirir ve sürekli ve sorunsuz bir veri akışı sağlamak için gelişmiş denetim alt kategorilerini etkinleştirirsiniz.
Etkinlik Sözlüğü: Bu kimlik numaraları ne anlama geliyor?
Olay Görüntüleyicisini açtığınızda Applications and Services Logs > Microsoft > Windows > Sysmon > OperationalBir kimlik listesi göreceksiniz. İşte kaçırmamanız için en önemli olanlar:
- Kimlik 1 (Oluşturma İşlemi): Birisi bir program başlattı. Yol ve argümanları ekleyin.
- Kimlik 3 (Ağ Bağlantısı): Bir uygulama ağa bağlandı.
- Kimlik 7 (Görüntü Yüklendi): Bir DLL dosyası bir işleme yüklendi. Burada dikkatli olun, çok fazla gürültüye neden olabilir.
- Kimlik 11 (Dosya Oluşturma): Bir dosya oluşturuldu veya üzerine yazıldı; bu, geçici klasörleri izlemek için idealdir.
- Kimlik 13 (Kayıt Etkinliği): Kayıt defterindeki bir değer değiştirildi; bu, kötü amaçlı yazılımların kalıcılığı için tipik bir anahtardır.
- Kimlik 22 (DNS Sorgusu): Sistem bir etki alanı talep etti. Bu, sinyal göndermeyi tespit etmek için gereklidir.
Doğrulama ve bakım
Her şeyin doğru çalıştığından emin olmak için en basit yaklaşım bir olayı tetiklemektir. Örneğin, regedit.exe'yi açın veya bir PowerShell komutu çalıştırın ve toplayıcı sunucuda veya yerel görüntüleyicide 1 numaralı kimliğin göründüğünü doğrulayın. Günlük hacminin yönetilemez olduğunu fark ederseniz, XML dosyanızdaki dışlama filtrelerini ayarlamanın zamanı gelmiştir.
Güncellemeler konusuna gelince, yerleşik sürümü kullanıyorsanız, Microsoft her şeyi Windows Güncellemeleri aracılığıyla halleder . Güvenlik iyileştirmeleri aylık yamalarla, işlevsel iyileştirmeler ise kalite güncellemeleriyle gelir; bu sayede hizmeti yeniden yüklemenize veya özel ayarlarınızı kaybetmenize gerek kalmaz.
Sysmon'u doğru şekilde uygulamak, karanlık bir odayı aydınlatacak bir şeye dönüşmek gibidir. Base64 kodlu bir PowerShell betiğinin yürütülmesinden şüpheli bir oturum açma anahtarının oluşturulmasına kadar her şeyi merkezi olarak izlemenizi ve analiz için hazır hale getirmenizi sağlar. Bu telemetriyi bir SIEM veya olay toplayıcı ile birleştirerek, birbirinden ayrı günlüklerden oluşan bir koleksiyonu, davetsiz misafirleri çok geç olmadan tespit edebilen proaktif bir savunma stratejisine dönüştürürsünüz.