Sysmon 5 är den senaste versionen av den populära övervakning av program för Windows som skriver verksamhet till Windows Event log.
Sysmon, som står för System Monitor, är en bakgrund övervaka. Detta innebär att det kommer att göra sitt arbete när de installeras utan att användaren eller grafiska användargränssnitt.
I själva verket är allt du behöver göra för att installera det är att köra ett kort kommando från kommandoraden för att installera övervakning service.
Detta görs genom att trycka på Windows-tangenten, skriver cmd.exe att hålla nere Skift-tangenten och Ctrl-tangenten innan du trycker på Enter-tangenten och skriva sysmon -accepteula –jag i Sysmon program-katalogen.
Tips: om du vill avinstallera Sysmon igen, kör det igen men denna gång med kommandot sysmon -u.
Programmet loggar direkt till Windows Event log vilket innebär att du måste öppna den med hjälp av de infödda viewer eller ett program från tredje part såsom Event Log Explorer för att komma åt data.
Sysmon 5
Alla händelser som Sysmon 5 spår lagras i Applikationer och Tjänster Loggar/Microsoft/Windows/Sysmon/Operativa i händelseloggen.
Följande händelser spåras av ansökan:
- Händelse 1: Processen skapas — en ny process som är skapad på systemet är listade enligt denna händelse-ID.
- Händelse 2: Fil skapas förändringar.
- Händelse 3: nätverksanslutningar — inaktiverad som standard. För att aktivera det, kör kommandot installera med parametern -n.
- Händelse 4: Sysmon service tillstånd ändras.
- Händelse 5: Processen avslutas.
- Händelse 6: Drivrutin läses in.
- Händelse 7: Bild laddas. Detta är som standard inaktiverad. För att aktivera det, kör kommandot installera med parametern -l.
- Händelse 8: Skapa Fjärrkontrollen Tråd — loggar när en process skapar en tråd i en annan process.
- Händelse 9: Raw Tillgång Läs — loggar när en process använder för att läsa från disken med hjälp av och .
- Händelse 10: Processen Tillgång — Loggar när en process som öppnar en annan process.
- Händelsen 11: Fil Skapa.
- Händelse 12: Registret Händelse (Objekt Skapa och ta Bort) — Loggar när processer skapa eller ta bort Register-objekt.
- Evenemanget 13: Registret Händelse (Inställt Värde) — Loggar när processer ställa in värden i Registret.
- Event 14: Registret Händelse (Nyckel och Värde byta namn) — Loggar när registernycklar och värden som är omdöpt.
- Händelse 15: Fil Skapa Stream Hash — Loggar när en fil ström skapas.
- Händelsen 255:- Fel.
Filtrering stöds vilket innebär att du kan använda Händelse Filtrering filter för specifika händelser som du är intresserad av.
Den nya Sysmon 5 introducerar nya alternativ övervakning som loggfil skapa och registerändringar händelser.
Denna stora uppdatering för att Sysmon, en bakgrund monitor som registrerar aktivitet i händelseloggen för användning i security incident upptäckt och kriminalteknik, introducerar fil skapa och registerändringar för loggning. Dessa typer av händelser som gör det möjligt att konfigurera filter för att fånga uppdateringar till kritiska system konfiguration och ändringar autostart ingångar som används av skadlig kod.
Avslutande Ord
Sysmon 5 förbättrar en redan bra program längre genom att införa registerändringar och fil skapa händelser till loggning. Eftersom inget annat har förändrats, det är en no brainer för att uppgradera befintliga kopia av programmet till den senaste versionen för att dra nytta av ytterligare händelseloggning alternativ.