Sysmon 是 Windows Sysinternals 系列中的一款工具。如果你想实时监控 Windows 系统又对其他第三方软件有顾虑，使用 Sysmon 这款轻量级 Microsoft 自带内部软件是最好的选择。
Sysmon 有啥用？
在打开应用或者任何进程创建的行为发生时，Sysmon 会使用 sha1（默认），MD5，SHA256 或 IMPHASH 记录进程镜像文件的 hash 值，包含进程创建过程中的进程 GUID，每个事件中包含 session 的 GUID。除此之外记录磁盘和卷的读取请求 / 网络连接（包括每个连接的源进程，IP 地址，端口号，主机名和端口名），重要的是还可在生成初期进程事件能记录在复杂的内核模式运行的恶意软件。
安装步骤
在 https://download.sysinternals.com/files/Sysmon.zip 下载 Sysmon，打开 CMD(Admin 权限) 到放置路径下运行
Sysmon 启动
在实际生产环境应用时，根据不同的配置，这时候自定义监控规则显得尤为重要，又由于避免产生庞大的数据记录，需要通过精简配置来达到高效率日志生成。
Sysmon 提供了 xml 格式的配置文件来让用户自定义过滤规则，配置文件的东西比较多，以下提供一个测试用例。（xml 大小写敏感）
原文链接:【 https://www.infoq.cn/article/Gkms7FaVG6wbVcfQobaM 】。未经作者许可，禁止转载。
评论