Sysmon 蒐集事件

本文介紹透過 Microsoft Sysinternals 的 Sysmon 工具搭配開源專案 SwiftOnSecurity Sysmon Config設定檔，來查找通報中與特定 IP 連線異常程序。此程序是建立一套「發現主機連到可疑 IP 時，可以回溯是哪個程式、哪個帳號、何時連線」的機制，我建議採用：

• Sysmon（主要蒐集程序與網路連線）+ SwiftOnSecurity Sysmon Config（簡易設定）
• Windows Security Log 4688（程序建立）
• 保留標準 Event Log