Sysmon(sysinternals)

Sysmon은 기본 윈도우 이벤트 로그로는 한계가 있는 프로세스 생성, 네트워크 연결 등을 이벤트화 할 수 있습니다. 사고 대응 관점에서 생성된 프로세스 목록과 네트워크 연결 로그는 사고를 재구성하는데 굉장히 도움이 됩니다. Sysmon은 별도의 모니터링 도구 없이 간단히 드라이버 설치만으로 이런 로그를 이벤트화 시켜줍니다.

1. Sysmon 설치

Sysmon을 설치 하시려면 먼저 PLURA Agent를 설치해야합니다.
아래 이미지 링크를 통해 다운로드 할 수 있습니다.

♦ 참고사항 I

– 현재 Sysmon 공식 홈페이지에서 제공하는 Sysmon 설치 파일은 OS 버전의 제한이 있습니다.

– 공식 홈페이지의 OS 지원 공지 사항은 다음과 같습니다.

– Windows Server 2008 이하를 사용하시는 사용자께서는 Sysmon v3.21을 설치하셔야 Sysmon을 사용하실 수 있습니다.
아래의 링크 페이지를 통해 다운로드 하실 수 있습니다.

버전 3.21 다운로드 링크 [ Sysmon v3.21 ]

 

최신버전 다운로드 링크 [ Sysmon ]



압축을 푼 후 Sysmon폴더에서 [Shift + 우클릭] 을 하여 ‘여기서 명령 창 열기’ 로 cmd 창을 엽니다.

” Sysmon.exe –i [options] ” 명령어를 통해 Sysmon을 설치할 수 있습니다.
” Sysmon.exe -h ” 명령어를 통해 [options] 의 목록을 보실 수 있습니다.

  • [options]

설치할 때 -accepteula 옵션을 사용하면 소프트에어 사용자 동의인 EULA(End User License Agreement)를 자동 수락된 상태에서 설치가 가능합니다.

Windows Server 2008R2 부터는 별도의 config 파일을 이용하여 sysmon 실행 설정을 할 수 있습니다.

config 다운로드 링크 [ Sysmonconfig ]

다음과 같이 사용자 정의에 맞게 option 을 입력하여 설치를 진행합니다.

Sysmon의 옵션 관련 설명은 [다운로드 페이지] 에도 잘 설명되어 있습니다.

 

♦ 참고사항 II

Windows Server 2008 버전 이하의 사용자께서 사용하셔야 하는 Sysmon v3.21 에서는 ‘ -r ‘ 명령어가 존재하지 않습니다.

이점을 참고하시어 설치를 진행하시길 바랍니다.

 

다음과 같이 실행 명령어를 입력하면 sysmon이 실행상태로 되고 PLURA Agent의 상단 표시에
” SYSMON : 설치 ” 로 변경됩니다.

 

2. Sysmon 이벤트확인

프로세스 생성, 프로세스 이미지의 SHA1 해시값을 로깅하고 싶다면 다음과 같이 옵션을 주어 설치하면 됩니다.

C:\Sysmon>Sysmon -i -h sha256 -l

sysmon%ec%84%a4%ec%b9%98%ec%88%98%ec%a0%95

 

실행하면 윈도우 서비스 로그 경로에 Sysmon 로그가 추가됩니다.

%SystemRoot%\System32\Winevt\Logs\Microsoft-Windows-Sysmon%4Operational.evtx

sysmonevent

 

 3. Sysmon 활용

이벤트뷰어에서 아래와 같이 응용 프로그램 및 서비스 로그->Microsoft->Windows->Sysmon->Operational 을 클릭 할 수 있습니다.

sysmon경로

 

  • Sysmon Event ID 의 뜻은 다음과 같습니다.
Category ID
프로세스 생성 (Process Create) 1
파일 생성 시간 변경 (File creation time changed) 2
네트워크 연결 탐지 (Network Connection Detected) 3
시스몬 상태 변경 (Sysmon service state changed) 4
프로세스 종료 (Process terminated) 5
드라이버 로드 (Driver loaded) 6
이미지 로드 (Image loaded) 7
스레드이벤트 생성 (CreatRemoteThread) 8
Disk/Volume Read 이벤트 (RawAccessRead*) 9

 

4. Sysmon 로그를 PLURA 웹 페이지에서 확인하실 수 있습니다.

sysmonlog

By |2018-12-07T14:32:35+00:009월 23rd, 2016|Categories: Install Guide|0 Comments