Sysmon은 기본 윈도우 이벤트 로그로는 한계가 있는 프로세스 생성, 네트워크 연결 등을 이벤트화 할 수 있습니다. 사고 대응 관점에서 생성된 프로세스 목록과 네트워크 연결 로그는 사고를 재구성하는데 굉장히 도움이 됩니다. Sysmon은 별도의 모니터링 도구 없이 간단히 드라이버 설치만으로 이런 로그를 이벤트화 시켜줍니다.

 

PLURA Agent 확장 기능 사용하기

◆ Sysmon 설치

-Sysmon을 설치 하시려면 먼저 PluraAgent를 설치해야합니다.
– 아래 경로에서 다운로드 할 수 있습니다.

 

[Sysmon 최신 버전]

 

[Sysmon v3.21]
sysmon3-21

– 압축을 푼 후 Sysmon폴더를 C드라이브로 이동하여 실행하면 장치 드라이버 형태로 설치되어 서비스로 동작하게 됩니다.

   Cmd 창을 ‘관리자 권한’으로 열어 아래와 같이 실행합니다.

C:\Sysmon>Sysmon.exe

Sysinternals Sysmon v4.21 – System activity monitor
Copyright (C) 2014 Mark Russinovich and Thomas Garnier
Sysinternals – www.sysinternals.com

Usage:
Install: Sysmon.exe -i [-h [sha1|md5|sha256]] [-n]
Configure: Sysmon.exe -c [[-h [sha1|md5|sha256]] [-n]|–]
Uninstall: Sysmon.exe -u

-c Update configuration of an installed Sysmon driver or dump the current configuration if no other argument is provided. Optionally take a configuration file.
-h Specify the hash algorithms used for image identification (default is SHA1). It supports multiple algorithms at the same time. Configuration entry: HashAlgorithms.
-i Install service and driver. Optionally take a configuration file.
-l Log loading of modules. Optionally take a list of processes to track.
-m Install the event manifest (done on service install as well).
-n Log network connections. Optionally take a list of processes to track.
-r Check for signature certificate revocation. Configuration entry: CheckRevocation.
-u Uninstall service and driver.

 

Sysmon의 옵션 관련 설명은 다운로드 페이지 에 잘 설명되어 있습니다.

 

  • 다음과 같이 실행 명령어를 입력하면 sysmon이 실행상태로 되고 PluraAgent의 상단 표시에
    SYSMON : 설치됨 으로 변경됩니다.

◆ Sysmon 이벤트확인

프로세스 생성, 프로세스 이미지의 SHA1 해시값, 네트워크 연결을 로깅하고 싶다면 다음과 같이 옵션을 주어 설치하면 됩니다.

C:\Sysmon>Sysmon -i -h sha1 -n -l

sysmon%ec%84%a4%ec%b9%98%ec%88%98%ec%a0%95

 

sysmon%ec%84%a4%ec%b9%98%eb%90%a8

 

 

실행하면 윈도우 서비스 로그 경로에 Sysmon 로그가 추가됩니다.

%SystemRoot%\System32\Winevt\Logs\Microsoft-Windows-Sysmon%4Operational.evtx

sysmonevent

 

 

◆ Sysmon 활용

  1. 이벤트뷰어에서 아래와 같이 응용 프로그램 및 서비스 로그->Microsoft->Windows->Sysmon->Operational 을 클릭 할 수 있습니다.

sysmon경로

Sysmon Event ID 의 뜻은 다음과 같습니다.

Category ID
프로세스 생성 (Process Create) 1
파일 생성 시간 변경 (File creation time changed) 2
네트워크 연결 탐지 (Network Connection Detected) 3
시스몬 상태 변경 (Sysmon service state changed) 4
프로세스 종료 (Process terminated) 5
드라이버 로드 (Driver loaded) 6
이미지 로드 (Image loaded) 7
스레드이벤트 생성 (CreatRemoteThread) 8
Disk/Volume Read 이벤트 (RawAccessRead*) 9

 

◆ Sysmon 로그를 프루라에서 확인하실 수 있습니다.

sysmonlog