透過 Sysmon 蒐集事件

本文介紹透過 Microsoft Sysinternals 的 Sysmon 工具搭配開源專案 SwiftOnSecurity Sysmon Config設定檔，來查找通報中與特定 IP 連線異常程序。此程序是建立一套「發現主機連到可疑 IP 時，可以回溯是哪個程式、哪個帳號、何時連線」的機制，建議採用程序如下：

• Sysmon（主要蒐集程序與網路連線）+ SwiftOnSecurity Sysmon Config（簡易設定）
• Windows Security Log 4688（程序建立）
• 保留標準 Event Log

進入官方網頁 Microsoft Sysinternals 的 Sysmon觀看詳細說明與下載； 或是直接下載 Sysmon.zip 。

解壓縮後會有：

• Sysmon.exe
• Sysmon64.exe

GitHub 專案：[sysmon-config](https://github.com/SwiftOnSecurity/sysmon-config)

下載 `sysmonconfig-export.xml`，並重新命名為 `sysmon.xml`。 例如放在： ```text C:\Sysmon\sysmon.xml

```

—

找到：

確認未被註解。 有些版本會長這樣：

表示：

* Event ID 3 * Network Connection 已啟用。

—

以系統管理員開啟 CMD：

cd C:\Sysmon sysmon64.exe -accepteula -i sysmon.xml

成功訊息：

```text Sysmon installed. Sysmon started.

```

—

PowerShell 執行指令：

Get-Service sysmon*

``` 應看到： ```text Status Name —— —- Running Sysmon64

```

—

開啟：`secpol.msc`

進入：

* 安全性設定 * 進階稽核原則設定 * 詳細追蹤 * 稽核建立處理程序

左鍵雙擊「稽核建立處理程序」，勾選「設定下列稽核事件(C)」：

* 勾選「成功(S)」 * 勾選「失敗(F)」

點擊「套用」，啟用此原則。 此時系統會產生：

* Event ID 4688

用來記錄程式啟動。這個事件可與網路連線事件交叉比對。