ืืขืจ ืึทืจืืืงื ืืื ืืขืจ ืขืจืฉืืขืจ ืืืื ืคืื ืึท ืกืขืจืืข ืืืืฃ Sysmon ืกืึทืงืึธื ืข ืึทื ืึทืืืกืืก. ืึทืืข ืื ืืขืจืข ืืืืื ืคืื ืืขืจ ืกืขืจืืข:
ืืืื 1: ืืงืืื ืฆื Sysmon ืืึธื ืึทื ืึทืืืกืืก (ืืื ื ืืขื ืขื ืื)
ืืืื 2: ื ืืฆื Sysmon Event Data ืฆื ืืืขื ืืืคืืฆืืจื ืืจืขืฅ
ืืืื 3. ืืื-ืืืคืงืืึทื ืึทื ืึทืืืกืืก ืคืื Sysmon ืืจืขืฅ ื ืืฆื ืืจืึทืคืก
ืืืื ืืืจ ืึทืจืืขื ืืื ืืื ืคึฟืึธืจืืึทืฆืืข ืืืืขืจืืืื, ืืืจ ืืืกืืึธืืข ืึธืคื ืืึธืื ืฆื ืคึฟืึทืจืฉืืืื ืึธื ืืึธืื ื ืื ืคืืื. ืืืื ืืืจ ืฉืืื ืืึธืื ืึท ืืจืืื ื ืืืื, ืืืจ ืงืขื ืขื ืงืืงื ืคึฟืึทืจ ื ืื-ื ืึธืจืืึทื ืืขืืืงืืื ืืื ืื "ืจืื" ืึทื ืคึผืจืึทืกืขืกื ืืึธืืก - ืืึธืื, ืึท PowerShell ืฉืจืืคื ืคืืืกื ืืืง ืืืขืจ ื VBS ืกืงืจืืคื ืคืืจืฉืืขืื ืืืก ื ืืืืจื ืืขืงืข - ืคืฉืื ืืืจื ืกืงืจืืื ืืืจื ืื ืืขืฆืืข ืืขืืืงืืื ืืื ืื ืืขืฉืขืขื ืืฉ ืืื Windowsืืืขืจ ืืึธืก ืืื ืึทื ืขืืืขืจ ืงืึธืคึผืืืืืืืง. ืฆืื ืืืืง, ืืึธื ืืืืงืจืึธืกืึธืคึฟื ืืึทืฉืึทืคึฟื ืกืืกืืึธื, ืืืึธืก ืืึทืื ืึทืืึทืง ืึทื ืึทืืื ืคืื ืืจืื ืืขืจ.
ืืืืื ืฆื ืคึฟืึทืจืฉืืืื ืื ืืงืขืจืืืง ืืขืืื ืงืขื ืืื ืืขืจ ืื ืืจืขืฅ ืืขืืืืื ืืื ืื Sysmon ืงืืึธืฅ? ืืจืืคืงืืคืืข ืืื ืืืขืจ ืคืืจืขืจ ืืื ืืืจ ืจืขืึทืืืืืจื ืืื ืืื ืกืืืืขืจืก ืงืขื ืขื ืืขืืืื ืืึธื ืืืึธืจืืจื ืึทื ืืขืจืข ืขืืคึผืืืืื. ืื ืืืืคึผื ืคึผืจืึธืืืขื ืืื ืืจืืขืื ืืืื ืืขืฉืขืขื ืืฉ ืืึธื. Windows ืื ืคืจืืืืขื ืืื ืืขืจ ืืื ืื ืืื ืืื ืคืืจืืืฆืืข ืืืขืื ืื ืขืืืขืจื ืคืจืืฆืขืกื, ืืืืก ืืืื ื ืื ืก'ืืื ืืืืืขืืืขื ืฆื ืคืืจืฉืืืื ืื ืคืจืืฆืขืก ืืืืขืจืืจืืืข. ืกืืกืืื ืืื ืืืื ืืจืืืขืก, ืคืื ืืขืจ ืื ืืขืจืขืจ ืืืื, ืื ืืืืืื ืื ืขืืืขืจื ืคืจืืฆืขืก ืืืืขื ืืืคืืงืืฆืืข, ืืืื ื ืืืขื, ืืื ืื ืงืืืื ื ืืื ืืข ืืืืก ืืืขืจื ืืขืืืคื. ื ืืื ืง, ืืืืงืจืืกืืคื.
ืืื ืืขืจ ืขืจืฉืืขืจ ืืืื ืคืื ืืื ืืืขืจ ืกืขืจืืข, ืืืจ ืืืขืื ืงืืงื ืืื ืืืึธืก ืืืจ ืงืขื ืขื ืืึธื ืืื ืืงืขืจืืืง ืืื ืคึฟืึธืจืืึทืฆืืข ืคึฟืื Sysmon. ืืื ืืืื XNUMX, ืืืจ ืืืขืื ื ืืฆื ืื ืคืึธืืขืจ ืคึผืจืึธืฆืขืก ืืื ืคึฟืึธืจืืึทืฆืืข ืฆื ืฉืึทืคึฟื ืืขืจ ืงืึธืืคึผืืืฆืืจื ืืขืกืงืขื ืกืืจืึทืงืืฉืขืจื ืืืงืื ื ืืื ืกืึทืงืึธื ืข ืืจืึทืคืก. ืืื ืื ืืจืื ืืืื, ืืืจ ืืืขืื ืงืืงื ืืื ืึท ืคึผืฉืื ืึทืืืขืจืืืึทื ืืืึธืก ืกืงืึทื ื ืึท ืกืึทืงืึธื ืข ืืจืึทืคืืง ืฆื ืืืื ืคึฟืึทืจ ืืืืขืืืืื ืืืขื ืืขืืืงืืื ืืืจื ืึทื ืึทืืืืืื ื ืื "ืืืึธื" ืคืื ืื ืืจืึทืคืืง. ืืื ืืื ืื ืกืืฃ, ืืืจ ืืืขื ืืืื ืจืืืืึธืจืืื ืืื ืึท ืฆืืืืืง (ืืื ืคืึทืจืฉืืืืืง) ืคึผืจืึธืืึทืืืืืกืืืง ืกืึทืงืึธื ืข ืืืืขืงืฉืึทื ืืืคึฟื.
ืืืื 1: ืืงืืื ืฆื Sysmon ืืึธื ืึทื ืึทืืืกืืก
ืืืึธืก ืงืขื ืขื ืืขืืคึฟื ืืืจ ืคึฟืึทืจืฉืืืื ืื ืงืึทืืคึผืืขืงืกืืืื ืคืื ืื ืืขืฉืขืขื ืืฉ ืงืืึธืฅ? ืืขืกืึธืฃ - SIEM. ืขืก ื ืึธืจืืึทืืืืืื ืืขืฉืขืขื ืืฉื ืืื ืกืืืคึผืืึทืคืืื ืืืืขืจ ืกืึทืืกืึทืงืืืึทื ื ืึทื ืึทืืืกืืก. ืืืขืจ ืืืจ ืืืจืคื ื ืืฉื ืืืื ืืืื ืืืืื, ืืืืืืื ืืืกืื ืก ื ืืฉื ืขืจืฉื. ืืื ืื ืึธื ืืืื, ืฆื ืคึฟืึทืจืฉืืืื ืื ืคึผืจืื ืกืึทืคึผืึทืื ืคืื SIEM, ืขืก ืืืขื ืืืื ืืขื ืื ืฆื ืคึผืจืืืืจื ืื ืืืื ืืขืจืืขื ืคืจืื Sysmon ื ืืฆื. ืืื ืื ืืื ืกืึทืคึผืจืืืืื ืืื ืืจืื ื ืฆื ืึทืจืืขืื ืืื. ืืึทืืื ืขืก ืึทืจืืืฃ, ืืืืงืจืึธืกืึธืคึฟื!
ืืืึธืก ืคึฟืขืึดืงืืืื ืืื Sysmon?
ืงืืจืฅ ืืขืืืื, ืขืก ืืื ื ืืฆืืขืืข ืืื ืืืื ืขื ืข ืืื ืคืืจืืืฆืืข ืืืขืื ืคืจืืฆืขืกื (ืืขื ืืืืืขืจ ืืื ืื). ืืืจ ืืืขื ืืขืคึฟืื ืขื ื ืืึธื ื ืืฆืืขืืข ืคืจืืื ืืืึธืก ืืขื ืืขืคึฟืื ื ื ืืฉื ืืื ืืขื ืืขืฉืขืขื ืืฉ ืืึธื. Windows, ืืืขืจ ืื ืืืืืืืืกืืข ืืขื ืขื ืื ืคืืืื ืืข ืคืขืืืขืจ:
- ืคึผืจืึธืฆืขืก ืฉืืึทื (ืืื ืืขืฆืืืึทื, ื ืืฉื ืืขืงืก!)
- ืคึผืึทืจืขื ื ืคึผืจืึธืฆืขืก ืฉืืึทื
- ืคึผืจืึธืฆืขืก ืืึทืคึฟืขืื ืฉืืจื
- ืืึทืคึฟืขืื ืฉืืจื ืคืื ืืขืจ ืคืึธืืขืจ ืคึผืจืึธืฆืขืก
- ืืขืงืข ืืืื ืืึทืฉ
- ืืขืงืข ืืืื ื ืขืืขื
Sysmon ืืื ืืื ืกืืึทืืืจื ืืืืืข ืืื ืึท ืืืื ืืจืืืืืขืจ ืืื ืืื ืึท ืืื ืกื - ืืขืจ ืืขืืึทืืืก ืืืึทื ืืืืคึผื ืืืึทืืข ืืื ืื ืคืืืืงืืื ืฆื ืคืื ืึทื ืืขืจืงืืืึทืื ืืึธืืก ืคืื ืขืืืขืืข ืงืืืืื, ืงืึธืจืึทืืืืฉืึทื ืคืื ืืื ืคึฟืึธืจืืึทืฆืืข ืืื ืจืขืืืืืึทื ืคืื ืจืืืึทืืืื ื ืืืึทืืืขืก ืฆื ืืืื ืืขืฉืขืขื ืืฉ ืงืืึธืฅ ืืขืงืข ืืืืฃ ืืขื ืืจื ืืืืงืจืึธืกืึธืคึฟื -> Windows -> ืกืืกืืึธื -> ืึธืคึผืขืจืึทืฆืืึธื ืขืืืื ืืฒึทื ืข ืืืืืขื ืข ืืึธื ืืืืกืคึฟืึธืจืฉืื ืืขื Windowsืืึธืจ-ืจืืืืขื ืืข ืืขืืชืื ืืื ืื ืืืื ืืื ืืขืืืื ืืกืืจ ืืืื ืืืขืงืกืืขื ืฆืืืืฉื, ืืืฉื, ืื ืคึผืึทืืขืจืฉืขื ืืึธืืก ืืขืงืข ืืื ืื ืืืืขืจืืืื ืืขืงืข, ืกืงืจืึธืื ืืืจื ืืขืฉืขืขื ืืฉ ืืึธืืก ืืื ื ืืขืืืืฉื ืคืืจืืื ืฆื ืขืคืขืก ืคืืจืืื ืื ืื ืืืขืจืื ืฆืืืืฉื ืืื. ืืืก ืืื ืงืืื ืืื ื ืืฉื ืงืืื ืืจืื ืืข ืืืืคืืืืข, ืืื ืืื ืืื ืืื ืฉืคืขืืขืจ ืืืื ืืขืืขื, ืืืืื ืขืก ืืขืืืขื ืืขืกืขืจ ืฆื ืงืืืคื ืืกืคึผืืจืื ืืืืื.
Sysmon ื ืขืื ืึท ืงืืืึทื ืืื ืฉืคึผืจืื ืืขื ืคืึธืจืืืก ืืืจื ืคึผืจืึทืืืืืืื ื ื ืืฆืืง (ืึธืืขืจ ืืื ืืืขื ืืึธืจืก ืืื ืฆื ืืึธืื, ืึทืงืืืึธื ืึทืืืข) ืืื ืคึฟืึธืจืืึทืฆืืข ืฆื ืืขืืคื ืคึฟืึทืจืฉืืืื ืื ืึทื ืืขืจืืืืื ื ืคึผืจืึทืกืขืกืึทื. ืคึฟืึทืจ ืืืึทืฉืคึผืื, ืืื ืกืืึทืจืืขื ืึท ืกืื ืกืขืกืืข , ืกืืืืืืจื ืืืง ืื ืืึทืืืขืืื ื ืคืื ืึท ืงืืืื ืืื ืกืืืืขืจ ืืื ื ืขืฅ. ืืึธืก ืืื ืืืึธืก ืืืจ ืืืขื ืืขื ืืื ืืขื ืืขืฉืขืขื ืืฉ ืืึธื. Windows:
ืืื ืืขื ืืฉืืจื ืึทื Windows ืขืืืขืืข ืคึผืจืึธืฆืขืก ืืื ืคึฟืึธืจืืึทืฆืืข ืืื ืงืขื ืืืง, ืึธืืขืจ ืขืก ืืื ื ืืฉื ืืืืขืจ ื ืืฆืืขื. ืืืื, ืคึผืจืึธืฆืขืก ืืืืขื ืืืคืืงืึทืฆืืขืก ืืื ืืขืงืกืึทืืขืฆืืืึทื ืคืึธืจืขื?
ืคึฟืึทืจ ืึท ืคืึทืืืึทื ืขืก ืคืึทืืืึทื ืืื ืึท ืคืืจืฉืืื ื ืคืื ืื ืืึทืกืืงืก ืคืื ืืึทืงืื ื, ืื ืืึทืคึฟืขื ืฉืืจื ืืึธื ืืืื ืกืึทืกืคึผืืฉืึทืก. ื ืืฆื cmd.exe ืฆื ืืืืคื ืื ืื ืืขืจ ืืึทืคึฟืขื ืืื ืจืืืขืจืขืงื ืื ืจืขืืืืืึทื ืฆื ืึท ืืขืงืข ืืื ืึท ืืึธืื ืข ื ืึธืืขื ืืื ืงืืืจ ืขื ืืขื ืฆื ืื ืึทืงืฉืึทื ื ืคืื ืืึธื ืืืึธืจืื ื ืืื ืงืึธื ืืจืึธื ืืืืืืืืืจื : ืืื ืืขื ืืืขื, ืึท ืคึผืกืขืืืืึธ-ืฉืึธื ืืื ืืืฉืืคื ืืื WMI ืืึทืืื ืื ืืก.
ืืืฆื ืืึธืืืจ ื ืขืืขื ืึท ืงืืง ืืื ืื Sysmon ืคึผืึธืืืฆืืข ืขืงืืืืืืึทืืขื ื, ื ืึธืืืืกืื ื ืืื ืคืื ื ืึธื ืืื ืคึฟืึธืจืืึทืฆืืข ืขืก ืืื ืืื ืื:
Sysmon ืคึฟืขืึดืงืืืื ืืื ืืืื ืกืงืจืขืขื ืฉืึธื: ืืืืืืื ืืื ืคึฟืึธืจืืึทืฆืืข ืืืขืื ืืขื ืคึผืจืึธืฆืขืก ืืื ืึท ืืืื ืขืืืืืง ืคืึธืจืขื
ืืืจ ืืขื ื ืืฉื ื ืึธืจ ืื ืงืึธืืึทื ื ืืื ืืข, ื ืึธืจ ืืืื ืืขื ืืขืงืข ื ืึธืืขื, ืืขื ืืจื ืฆื ืืขืจ ืขืงืกืขืงืืืึทืืึทื ืึทืคึผืืึทืงืืืฉืึทื, ืืืึธืก Windows ืืืืืกื ืืืขืื ืืขื ("Windows "ืงืึธืืึทื ื ืคึผืจืึทืกืขืกืึธืจ", ืืืืขื ืืืคืืฆืืจืขืจ ืคึผืึทืจืขื ืืึทื ืคึผืจืึธืฆืขืก, ืืึทืคึฟืขืื ืฉืืจื ืคืึธืืขืจ, ืืืึธืก ืืึธื ืืฉื ืื ืงืื ืฉืึธื, ืืื ืืขืืื ื ืืื ืื ืคืึทืงืืืฉ ืืขืงืข ื ืึธืืขื ืคืื ืื ืคืึธืืขืจ ืคึผืจืึธืฆืขืก. ืึทืืฅ ืืื ืืืื ืึธืจื, ืืขืกืึธืฃ!
ืคึฟืื ืื Sysmon ืงืืึธืฅ ืืืจ ืงืขื ืขื ืคืึทืจืขื ืืืงื ืึทื ืืื ืึท ืืืื ืืึทืฉืืึธืขืก ืื ืกืึทืกืคึผืืฉืึทืก ืืึทืคึฟืขืื ืฉืืจื ืืืึธืก ืืืจ ืืขืืขื ืืื ืื "ืจืื" ืืึธืืก ืืื ื ืืฉื ืืขืจ ืจืขืืืืืึทื ืคืื ืืขืจ ืึธื ืืขืฉืืขืืืขืจ ืก ื ืึธืจืืึทื ืึทืจืืขื. ืืึทื ืฅ ืคืึทืจืงืขืจื, ืขืก ืืื ืืขืืืขื ืืืฉืขื ืขืจืืืืึทื ืืืจื ืึท C2-ืืื ืคึผืจืึธืฆืขืก - wmiexec, ืืื ืืื ืืขืจืืื ื ืคืจืืขืจ - ืืื ืืื ืืืืื ืืขืคึฟืืจื ืืืจื ืื WMI ืกืขืจืืืืก ืคึผืจืึธืฆืขืก (WmiPrvSe). ืืืฆื ืืืจ ืืึธืื ืึท ืืจืืื ืึทื ืึท ืืืืึทื ืึทืืึทืงืขืจ ืึธืืขืจ ืื ืกืืืืขืจ ืืื ืืขืกืืื ื ืื ืคึฟืืจืืข ืื ืคืจืึทืกืืจืึทืงืืฉืขืจ.
ืื ืืจืึธืืืืกืื ื Get-Sysmonlogs
ืืึธื ืขืก ืืื ืืจืืืก ืืืขื Sysmon ืฉืืขืื ืื ืืึธืืก ืืื ืืืื ืึธืจื. ืึธืืขืจ ืขืก ืืืึธืื ืืืกืืึธืืข ืืืื ืืคืืื ืืขืกืขืจ ืืืื ืืืจ ืงืขื ืึทืงืกืขืก ืืืื ืงืืึธืฅ ืคืขืืืขืจ ืคึผืจืึธืืจืึทืืืึทืืืงืึทืืื - ืคึฟืึทืจ ืืืึทืฉืคึผืื, ืืืจื PowerShell ืงืึทืืึทื ืื. ืืื ืืขื ืคืึทื, ืืืจ ืงืขื ืฉืจืืึทืื ืึท ืงืืืื PowerShell ืฉืจืืคื ืืืึธืก ืืืึธืื ืึธืืึทืืืื ืื ืืืื ืคึฟืึทืจ ืคึผืึธืืขื ืฆืืขื ืืจืขืฅ!
ืืื ืืื ื ืืฉื ืืขืืืขื ืืขืจ ืขืจืฉืืขืจ ืืืึธืก ืืึธื ืืขืืึทื ืึทืืึท ืืขืืึทื ืง. ืืื ืขืก ืืื ืืื ืึทื ืืื ืขืืืขืืข ืคืึธืจืื ืึทืจืืืงืืขื ืืื GitHub ืขืก ืืื ืฉืืื ืืขืจืงืืขืจื ืืื ืฆื ื ืืฆื PowerShell ืฆื ืคึผืึทืจืก ืื Sysmon ืงืืึธืฅ. ืืื ืืืื ืคืึทื, ืืื ืืขืืืืื ืฆื ืืืกืืืืื ืฆื ืฉืจืืึทืื ืืึทืืื ืืขืจ ืฉืืจืืช ืคืื ืคึผืึทืจืกืื ื ืฉืจืืคื ืคึฟืึทืจ ืืขืืขืจ Sysmon ืคืขืื. ืึทืืื ืืื ืืขืืืืื ื ืืขื ืคืืื ืืขื ืืฉ ืคึผืจืื ืฆืืคึผ ืืื ืืื ืืจืึทืืื ืืื ืืขืงืืืขื ืึทืจืืืฃ ืืื ืขืคึผืขืก ืืฉืืงืึทืืืข ืืื ืึท ืจืขืืืืืึทื.
ืืขืจ ืขืจืฉืืขืจ ืืืืืืืง ืคืื ื ืืื ืื ืคืืืืงืืึทื ืคืื ืื ืืึทื ืฉืึทืคึฟื ืืืืขื ืขื Sysmon ืืึธืืก, ืคืืืืขืจ ืื ื ืืืืืง ืืขืฉืขืขื ืืฉื ืืื ืจืขืืืืืึทื ืื ืจืขืืืืืึทื ืฆื ืื PS ืืืึทืืขืืืืืง, ืืื ืืึธ:
$events = Get-WinEvent -LogName "Microsoft-Windows-Sysmon/Operational" | where { $_.id -eq 1 -or $_.id -eq 11}
ืืืื ืืืจ ืืืืื ืฆื ืคึผืจืืืืจื ืื ืืึทืคึฟืขื ืืื, ืืืจื ืืืืึทืื ืืืง ืืขื ืืื ืืึทืื ืืื ืืขืจ ืขืจืฉืืขืจ ืขืืขืืขื ื ืคืื ืื $ events array, $ events[0]. ืึธื ืืึธื, ืืขืจ ืจืขืืืืืึทื ืงืขื ืขื ืืืื ืึท ืกืขืจืืข ืคืื โโืืขืงืกื ืกืืจืื ืืก ืืื ืึท ืืืืขืจ ืคึผืฉืื ืคึฟืึธืจืืึทื: ืื ื ืึธืืขื ืคืื ืื ืืึทืคึฟืขื. Sysmon ืคืขืื, ืึท ืฆืืืืืคึผืื ืื, ืืื ืืขืืึธืื ืืขืจ ืืืขืจื ืืื.
ืืืจืื! ืึทืจืืืกืคืืจื Sysmon ืงืืึธืฅ ืืื JSON-ืืจืืื ืคึฟืึธืจืืึทื
ืืืจ ืืจืึทืืื ืื ืืขืืืข ืืึทื ืืื ืืืจ? ืืื ืึท ืืืกื ืืขืจ ืื, ืืืจ ืงืขื ืขื ืืืึทืื ืื ืจืขืืืืืึทื ืืื ืึท JSON ืคืึธืจืืึทืืืขื ืฉืืจืืงื ืืื ืืขืืึธืื ืืึธืื ืขืก ืืืืื ืืื ืึท PS ืืืืคืขืฅ ืืื ืึท ืฉืืึทืจืง ืืึทืคึฟืขื. .
ืืื ืืืขื ืืืืึทืื ืื PowerShell ืงืึธื ืคึฟืึทืจ ืื ืงืึทื ืืืขืจืืฉืึทื - ืืึธืก ืืื ืืืืขืจ ืคึผืฉืื - ืืื ืืขืจ ืืืืึทืืขืจ ืืืื. ืืืฆื, ืืึธืืืจ ืืขื ืืืึธืก ืืืื ื ืืึทืข ืืึทืคึฟืขื ืืขืจืืคื get-sysmonlogs, ืืืึธืก ืืื ืืื ืกืืึทืืืจื ืืื ืึท ืคึผืก ืืึธืืืืข, ืงืขื ืขื ืืึธื.
ืึทื ืฉืืึธื ืคืื ืืืืืืื ื ืืืฃ ืืื Sysmon ืงืืึธืฅ ืึทื ืึทืืืกืืก ืืืจื ืึท ืืืืึทืงืืืขื ืืขืฉืขืขื ืืฉ ืงืืึธืฅ ืฆืืืื ื, ืืืจ ืงืขื ืขื ืขืคืขืจืืืึทืก ืืืื ืคึฟืึทืจ ืื ืงืจืึทืืขื ืืึทื ืืขืืืงืืื ืืืืึทื ืคึฟืื ืึท PowerShell ืกืขืกืืข, ืืื ื ืืฆื ืื PS ืืึทืคึฟืขื. (ืึทืืืึทืก - "?") ืฆื ืคืึทืจืงืืจืฆื ืื ืืืื ืจืขืืืืืึทืื:
ืจืฉืืื ืคืื ืงืื ืฉืขืื ืืึธื ืืฉื ืืืจื WMI. ืกืึทืงืึธื ืข ืึทื ืึทืืืกืืก ืืืืฃ ืื ืืืืืง ืืื ืืื ืืืขืจ ืืืืืขื ืข ืืึทืงืืืขื-Sysmonlogs ืืึทื ืฉืึทืคึฟื
ืืืื ืืขืจืืขื! ืืื ืืืฉืืคื ืึท ืืขืฆืืึทื ืฆื ืืึทืงืืืขื ืื Sysmon ืงืืึธืฅ ืืื ืืืื ืขืก ืืื ืืขืืืขื ืึท ืืึทืืึทืืืืก. ืืื ืืื ืืืขืจ ืึทืจืืืงื ืืืขืื ืขืก ืืื ืืขืืืขื ืืืืขืจืงื ืึทื ืื ืคืื ืงืฆืืข ืืืขื ืืืื ืืืจืืืขืงืึธืื ืืืจื ืื ืงืื ื ืืฆื ืืืกืงืจืืืื ืืื ืขืก, ืืึธืืฉ ืคืึธืจืืึทืื ื ืึธื ืืืจื ืึท ืคืึทืงืืืฉ ืกืงื-ืืื ืฆืืืื ื. ืืึธ, EQL ืขืืขืืึทื ื, ืืืข ืจ ืื ืจ ืฐืขืืข ื ืื ื ื ืืจืืืข ื ืืฒื ืจ ืื ืจืืจื .
Sysmon ืืื ืืจืึทืคืืง ืึทื ืึทืืืกืืก
ืืึธืืืจ ื ืขืืขื ืึท ืฉืจืื ืฆืืจืืง ืืื ืืจืึทืืื ืืืขืื ืืืึธืก ืืืจ ืืึธืื ื ืึธืจ ืืืึธืก ืืึทืฉืึทืคึฟื. ืืื ืขืืงืจ, ืืืจ ืืึธืื ืืืฆื ืึท ืืึทืืึทืืึทืืข ืคึฟืื ืืขืฉืขืขื ืืฉื. Windows, ืฆืืืจืืืืขื ืืืจื PowerShell. ืืื ืืื ืืื ืคืจืืขืจ ืืืืขืจืงื, ืืขื ืขื ืื ืคืืจืืื ืืื ืืขื ืืืขืจ ืืืฆืืืื ืืขื ืฆืืืืฉื ืจืขืงืืจืืกโืืืจื ParentProcessIdโืืืื ืงืขื ื ืืืจ ืฆืืจืืง ืืืงืืืขื ืื ืืื ืฆืข ืคืจืืฆืขืก ืืืืขืจืึทืจืืืข.
ืืืื ืืืจ ืืึธื ืืืืขื ืขื ืื ืกืขืจืืข ืืืจ ืืืืกื ืึทื ืืึทืงืขืจื ืืืืข ืฆื ืฉืึทืคึฟื ืงืึธืืคึผืืขืงืก ืืึทืืื-ืืื ืข ืื ืคืืื, ืืื ืืืึธืก ืืขืืขืจ ืคึผืจืึธืฆืขืก ืคืืขืกืขืก ืืืื ืืืืืขื ืข ืงืืืื ืจืึธืืข ืืื ืคึผืจืืคึผืขืจื ืึท ืกืคึผืจืื ืืืึธืจื ืคึฟืึทืจ ืืขืจ ืืืืึทืืขืจ ืฉืจืื. ืขืก ืืื ืืึธืจ ืฉืืืขืจ ืฆื ืืึทืคึผื ืึทืืึท ืืืื ืคืฉืื ืคืื ืื "ืจืื" ืงืืึธืฅ.
ืึธืืขืจ ืืื ืืืื Get-Sysmonlogs ืืึทืคึฟืขื ืืื ืึทื ื ืึธื ืืึทืื ืกืืจืืงืืืจ ืืืึธืก ืืืจ ืืืขืื ืืขื ืฉืคึผืขืืขืจ ืืื ืืขื ืืขืงืกื (ืึท ืืจืึทืคืืง, ืคืื ืงืืจืก), ืืืจ ืืึธืื ืึท ืคึผืจืึทืงืืืฉ ืืืขื ืฆื ืืขืืขืงื ืืจืขืฅ - ืืืึธืก ื ืึธืจ ืจืืงืืืืืขืจื ืื ืจืขืื ืืืขืจืืขืงืก ืืืื.
ืืื ืฉืืขื ืืืง ืืื ืืื ืืืขืจ DYI ืืืึธื ืคึผืจืึทืืืฉืขืงืก, ืื ืืขืจ ืืืจ ืึทืจืืขื ืืืืฃ ืึทื ืึทืืืืืื ื ืื ืืขืืึทืืืก ืคืื ืืจืขืฅ ืืืืฃ ืึท ืงืืืื ืืืึธื, ืื ืืขืจ ืืืจ ืืืขื ืคืึทืจืฉืืืื ืืื ืงืึธืืคึผืืขืงืก ืกืึทืงืึธื ืข ืืืืขืงืฉืึทื ืืื ืืืืฃ ืื ืคืึทืจื ืขืืื ื ืืืจืื. ืืื ืืขื ืืืืกืืงืืึทื ืืื ืืึธืจ ืืืืืืืง ืคืื ื.
ืืืจ ืืืขืื ืืจืขืคื ืื ืขืจืฉืืข ืืฉืืงืึทืืืข ืงืึทืืคึผืืึทืงืืืฉืึทื ื ืืื ืื ืจืืข ืืืื ืคืื ืืขื ืึทืจืืืงื, ืืื ืืืจ ืืืขืื ืึธื ืืืืื ืฆื ืคืึทืจืืื ืื Sysmon events ืืื ืืขืืขืจ ืื ืืขืจืข ืืื ืคืื ืืขืจ ืงืึธืืคึผืืืฆืืจื ืกืืจืึทืงืืฉืขืจื.
ืืงืืจ: www.habr.com
