ืืขืจ ืึทืจืืืงื ืืื ืืขืจ ืขืจืฉืืขืจ ืืืื ืคืื ืึท ืกืขืจืืข ืืืืฃ Sysmon ืกืึทืงืึธื ืข ืึทื ืึทืืืกืืก. ืึทืืข ืื ืืขืจืข ืืืืื ืคืื ืืขืจ ืกืขืจืืข:
ืืืื 1: ืืงืืื ืฆื Sysmon ืืึธื ืึทื ืึทืืืกืืก (ืืื ื ืืขื ืขื ืื)
ืืืื 2: ื ืืฆื Sysmon Event Data ืฆื ืืืขื ืืืคืืฆืืจื ืืจืขืฅ
ืืืื 3. ืืื-ืืืคืงืืึทื ืึทื ืึทืืืกืืก ืคืื Sysmon ืืจืขืฅ ื ืืฆื ืืจืึทืคืก
ืืืื ืืืจ ืึทืจืืขื ืืื ืืื ืคึฟืึธืจืืึทืฆืืข ืืืืขืจืืืื, ืืืจ ืืืกืืึธืืข ืึธืคื ืืึธืื ืฆื ืคึฟืึทืจืฉืืืื ืึธื ืืึธืื ื ืื ืคืืื. ืืืื ืืืจ ืฉืืื ืืึธืื ืึท ืืจืืื ื ืืืื, ืืืจ ืงืขื ืขื ืงืืงื ืคึฟืึทืจ ื ืื-ื ืึธืจืืึทื ืืขืืืงืืื ืืื ืื "ืจืื" ืึทื ืคึผืจืึทืกืขืกื ืืึธืืก - ืืึธืื, ืึท PowerShell ืฉืจืืคื ืคืืืกื ืืืง ืึธืืขืจ ืึท VBS ืฉืจืืคื ืคึผืจืืืขื ืืื ื ืฆื ืืืื ืึท ืืืึธืจื ืืขืงืข - ืคืฉืื ืกืงืจืึธืืืื ื ืืืจื ืื ืืขืฆืืข ืืขืืืงืืื ืืื ืื Windows ืืขืฉืขืขื ืืฉ ืงืืึธืฅ. ืืืขืจ ืืึธืก ืืื ืึท ืืึทืงืข ืืจืืืก ืงืึธืคึผืืืืืืืง. ืฆืื ืืืืง, ืืืืงืจืึธืกืึธืคึฟื ืืืฉืืคื Sysmon, ืืืึธืก ืืืื ืืึทืคืึทืื ืึทื ืึทืืืกืืก ืคืื ืืจืื ืืขืจ.
ืืืืื ืฆื ืคึฟืึทืจืฉืืืื ืื ืืงืขืจืืืง ืืขืืื ืงืขื ืืื ืืขืจ ืื ืืจืขืฅ ืืขืืืืื ืืื ืื Sysmon ืงืืึธืฅ? ืืจืืคืงืืคืืข ืืื ืืืขืจ ืคืืจืขืจ ืืื ืืืจ ืคืึทืจืฉืืืื ืืื ืื ืกืืืขืจื ืงืขื ืขื ืกืืจืจืขืคึผืืืืืึธืืกืื ืึธืืกืขืจืืืืจื ืื ืืขืจืข ืขืืคึผืืืืื. ืืขืจ ืืืืคึผื ืคึผืจืึธืืืขื ืืื ืืจืืขืื ืืื ืื Windows ืืขืฉืขืขื ืืฉ ืงืืึธืฅ ืืื ืื ืคืขืื ืคืื ืืื ืคึฟืึธืจืืึทืฆืืข ืืืขืื ืคืึธืืขืจ ืคึผืจืึทืกืขืกืึทื, ื.ืข. ืขืก ืืื ืืืืืขืืืขื ืฆื ืคึฟืึทืจืฉืืืื ืื ืืืืขืจืึทืจืงื ืคืื ืคึผืจืึทืกืขืกืึทื ืืขืจืคืื. Sysmon ืงืืึธืฅ ืืืื ืกื, ืืืืฃ ืื ืื ืืขืจืข ืืึทื ื, ืึทื ืืืึทืืื ืื ืคืึธืืขืจ ืคึผืจืึธืฆืขืก ืฉืืึทื, ืืืื ื ืึธืืขื ืืื ืื ืืึทืคึฟืขืื ืฉืืจื ืฆื ืืืื ืืึธื ืืฉื. ืืึทื ืงืขื ืืืจ, ืืืืงืจืึธืกืึธืคึฟื.
ืืื ืืขืจ ืขืจืฉืืขืจ ืืืื ืคืื ืืื ืืืขืจ ืกืขืจืืข, ืืืจ ืืืขืื ืงืืงื ืืื ืืืึธืก ืืืจ ืงืขื ืขื ืืึธื ืืื ืืงืขืจืืืง ืืื ืคึฟืึธืจืืึทืฆืืข ืคึฟืื Sysmon. ืืื ืืืื XNUMX, ืืืจ ืืืขืื ื ืืฆื ืื ืคืึธืืขืจ ืคึผืจืึธืฆืขืก ืืื ืคึฟืึธืจืืึทืฆืืข ืฆื ืฉืึทืคึฟื ืืขืจ ืงืึธืืคึผืืืฆืืจื ืืขืกืงืขื ืกืืจืึทืงืืฉืขืจื ืืืงืื ื ืืื ืกืึทืงืึธื ืข ืืจืึทืคืก. ืืื ืื ืืจืื ืืืื, ืืืจ ืืืขืื ืงืืงื ืืื ืึท ืคึผืฉืื ืึทืืืขืจืืืึทื ืืืึธืก ืกืงืึทื ื ืึท ืกืึทืงืึธื ืข ืืจืึทืคืืง ืฆื ืืืื ืคึฟืึทืจ ืืืืขืืืืื ืืืขื ืืขืืืงืืื ืืืจื ืึทื ืึทืืืืืื ื ืื "ืืืึธื" ืคืื ืื ืืจืึทืคืืง. ืืื ืืื ืื ืกืืฃ, ืืืจ ืืืขื ืืืื ืจืืืืึธืจืืื ืืื ืึท ืฆืืืืืง (ืืื ืคืึทืจืฉืืืืืง) ืคึผืจืึธืืึทืืืืืกืืืง ืกืึทืงืึธื ืข ืืืืขืงืฉืึทื ืืืคึฟื.
ืืืื 1: ืืงืืื ืฆื Sysmon ืืึธื ืึทื ืึทืืืกืืก
ืืืึธืก ืงืขื ืขื ืืขืืคึฟื ืืืจ ืคึฟืึทืจืฉืืืื ืื ืงืึทืืคึผืืขืงืกืืืื ืคืื ืื ืืขืฉืขืขื ืืฉ ืงืืึธืฅ? ืืขืกืึธืฃ - SIEM. ืขืก ื ืึธืจืืึทืืืืืื ืืขืฉืขืขื ืืฉื ืืื ืกืืืคึผืืึทืคืืื ืืืืขืจ ืกืึทืืกืึทืงืืืึทื ื ืึทื ืึทืืืกืืก. ืืืขืจ ืืืจ ืืืจืคื ื ืืฉื ืืืื ืืืื ืืืืื, ืืืืืืื ืืืกืื ืก ื ืืฉื ืขืจืฉื. ืืื ืื ืึธื ืืืื, ืฆื ืคึฟืึทืจืฉืืืื ืื ืคึผืจืื ืกืึทืคึผืึทืื ืคืื SIEM, ืขืก ืืืขื ืืืื ืืขื ืื ืฆื ืคึผืจืืืืจื ืื ืืืื ืืขืจืืขื ืคืจืื Sysmon ื ืืฆื. ืืื ืื ืืื ืกืึทืคึผืจืืืืื ืืื ืืจืื ื ืฆื ืึทืจืืขืื ืืื. ืืึทืืื ืขืก ืึทืจืืืฃ, ืืืืงืจืึธืกืึธืคึฟื!
ืืืึธืก ืคึฟืขืึดืงืืืื ืืื Sysmon?
ืืื ืงืืจืฅ - ื ืืฆืืง ืืื ืืืื ืขืืืืืง ืืื ืคึฟืึธืจืืึทืฆืืข ืืืขืื ืื ืคึผืจืึทืกืขืกืึทื (ืืขื ืืืืืขืจ ืืื ืื). ืืืจ ืืืขื ืืขืคึฟืื ืขื ืึท ืืื ืื ืคืื ื ืืฆืืง ืืขืืึทืืืก ืืืึธืก ืืขื ืขื ื ืืฉื ืืื ืื Windows Event Log, ืึธืืขืจ ืื ืืขืจืกื ืืืืืืืง ืืขื ืขื ืื ืคืืืืขื ืืข ืคืขืืืขืจ:
- ืคึผืจืึธืฆืขืก ืฉืืึทื (ืืื ืืขืฆืืืึทื, ื ืืฉื ืืขืงืก!)
- ืคึผืึทืจืขื ื ืคึผืจืึธืฆืขืก ืฉืืึทื
- ืคึผืจืึธืฆืขืก ืืึทืคึฟืขืื ืฉืืจื
- ืืึทืคึฟืขืื ืฉืืจื ืคืื ืืขืจ ืคืึธืืขืจ ืคึผืจืึธืฆืขืก
- ืืขืงืข ืืืื ืืึทืฉ
- ืืขืงืข ืืืื ื ืขืืขื
Sysmon ืืื ืืื ืกืืึทืืืจื ืืืืืข ืืื ืึท ืืืื ืืจืืืืืขืจ ืืื ืืื ืึท ืืื ืกื - ืืขืจ ืืขืืึทืืืก ืืืึทื ืืืืคึผื ืืืึทืืข ืืื ืื ืคืืืืงืืื ืฆื ืคืื ืึทื ืืขืจืงืืืึทืื ืืึธืืก ืคืื ืขืืืขืืข ืงืืืืื, ืงืึธืจืึทืืืืฉืึทื ืคืื ืืื ืคึฟืึธืจืืึทืฆืืข ืืื ืจืขืืืืืึทื ืคืื ืจืืืึทืืืื ื ืืืึทืืืขืก ืฆื ืืืื ืืขืฉืขืขื ืืฉ ืงืืึธืฅ ืืขืงืข ืืืืฃ ืืขื ืืจื ืืืืงืจืึธืกืึธืคึฟื -> Windows -> Sysmon -> ืึทืคึผืขืจืืืฉืึทื ืึทื. ืืื ืืืื ืืืืืขื ืข ืืึธืจ-ืจืืืืื ื ืื ืืืขืกืืึทืืืืฉืึทื ื ืืื Windows ืืึธืืก, ืืื ืืขืคึฟืื ืขื ืืื ืงืขืกืืืืขืจ ืฆื ืืึทืฉืืืืขื ืฆืืืืฉื, ืืึธืื, ืื PowerShell ืืึธืืก ืืขืงืข ืืื ืื ืืืืขืจืืืื ืืขืงืข, ืคืืืงืื ื ืืืจื ืื ืืขืฉืขืขื ืืฉ ืืึธืืก ืืื ืึท ืืืึทืืืึทื ื ืคึผืจืืืื ืฆื ืขืคืขืก ืงืึธืจืึทืืืื ืื ืืืึทืืืขืก ืฆืืืืฉื ืื ืฆืืืื. . ืืึธืก ืืื ืงืืื ืืึธื ืึทื ืืจืื ื ืึทืจืืขื, ืืื ืืื ืืื ืฉืคึผืขืืขืจ ืืืื ืืขืืขื, ืขืก ืืื ืืขืกืขืจ ืฆื ืืื ืืึทืืขืจ ืึทืจืืืฃ ืืื ืึทืกืคึผืืจืื.
Sysmon ื ืขืื ืึท ืงืืืึทื ืืื ืฉืคึผืจืื ืืขื ืคืึธืจืืืก ืืืจื ืคึผืจืึทืืืืืืื ื ื ืืฆืืง (ืึธืืขืจ ืืื ืืืขื ืืึธืจืก ืืื ืฆื ืืึธืื, ืึทืงืืืึธื ืึทืืืข) ืืื ืคึฟืึธืจืืึทืฆืืข ืฆื ืืขืืคื ืคึฟืึทืจืฉืืืื ืื ืึทื ืืขืจืืืืื ื ืคึผืจืึทืกืขืกืึทื. ืคึฟืึทืจ ืืืึทืฉืคึผืื, ืืื ืกืืึทืจืืขื ืึท ืกืื ืกืขืกืืข , ืกืืืืึทืืืืืื ื ืื ืืึทืืืขืืื ื ืคืื ืึท ืงืืื ืื ืกืืืืขืจ ืื ืืขืจ ื ืขืฅ. ืืึธืก ืืื ืืืึธืก ืืืจ ืืืขื ืืขื ืืื ืื Windows ืืขืฉืขืขื ืืฉ ืงืืึธืฅ:
ืื Windows ืงืืึธืฅ ืืืืืื ืขืืืขืืข ืืื ืคึฟืึธืจืืึทืฆืืข ืืืขืื ืืขื ืคึผืจืึธืฆืขืก, ืึธืืขืจ ืขืก ืืื ืคืื ืงืืืื ื ืืฆื. ืคึผืืืก ืคึผืจืึธืฆืขืก ืืืก ืืื ืืขืงืกืึทืืขืกืืืึทื???
ืคึฟืึทืจ ืึท ืคืึทืืืึทื ืขืก ืคืึทืืืึทื ืืื ืึท ืคืืจืฉืืื ื ืคืื ืื ืืึทืกืืงืก ืคืื ืืึทืงืื ื, ืื ืืึทืคึฟืขื ืฉืืจื ืืึธื ืืืื ืกืึทืกืคึผืืฉืึทืก. ื ืืฆื cmd.exe ืฆื ืืืืคื ืื ืื ืืขืจ ืืึทืคึฟืขื ืืื ืจืืืขืจืขืงื ืื ืจืขืืืืืึทื ืฆื ืึท ืืขืงืข ืืื ืึท ืืึธืื ืข ื ืึธืืขื ืืื ืงืืืจ ืขื ืืขื ืฆื ืื ืึทืงืฉืึทื ื ืคืื ืืึธื ืืืึธืจืื ื ืืื ืงืึธื ืืจืึธื ืืืืืืืืืจื : ืืื ืืขื ืืืขื, ืึท ืคึผืกืขืืืืึธ-ืฉืึธื ืืื ืืืฉืืคื ืืื WMI ืืึทืืื ืื ืืก.
ืืืฆื ืืึธืืืจ ื ืขืืขื ืึท ืงืืง ืืื ืื Sysmon ืคึผืึธืืืฆืืข ืขืงืืืืืืึทืืขื ื, ื ืึธืืืืกืื ื ืืื ืคืื ื ืึธื ืืื ืคึฟืึธืจืืึทืฆืืข ืขืก ืืื ืืื ืื:
Sysmon ืคึฟืขืึดืงืืืื ืืื ืืืื ืกืงืจืขืขื ืฉืึธื: ืืืืืืื ืืื ืคึฟืึธืจืืึทืฆืืข ืืืขืื ืืขื ืคึผืจืึธืฆืขืก ืืื ืึท ืืืื ืขืืืืืง ืคืึธืจืขื
ืืืจ ืงืขื ื ื ืืฉื ืืืืื ืืขื ืื ืืึทืคึฟืขืื ืฉืืจื, ืึธืืขืจ ืืืื ืื ืืขืงืข ื ืึธืืขื, ืืขืจ ืืจื ืฆื ืื ืขืงืกืขืงืืืึทืืืข ืึทืคึผืืึทืงืืืฉืึทื, ืืืึธืก Windows ืืืืืกื ืืืขืื ืืื ("ืืืื ืืึธืื ืงืึทืืึทื ื ืคึผืจืึทืกืขืกืขืจ"), ืื ืืืืขื ืืืืขื ืคึผืึทืจืขื ืืึทื ืคึผืจืึธืฆืขืก, ืืึทืคึฟืขืื ืฉืืจื ืคืึธืืขืจ, ืืืึธืก ืืึธื ืืฉื ืื ืงืื ืฉืึธื, ืืื ืืขืืื ื ืืื ืื ืคืึทืงืืืฉ ืืขืงืข ื ืึธืืขื ืคืื ืื ืคืึธืืขืจ ืคึผืจืึธืฆืขืก. ืึทืืฅ ืืื ืืืื ืึธืจื, ืืขืกืึธืฃ!
ืคึฟืื ืื Sysmon ืงืืึธืฅ ืืืจ ืงืขื ืขื ืคืึทืจืขื ืืืงื ืึทื ืืื ืึท ืืืื ืืึทืฉืืึธืขืก ืื ืกืึทืกืคึผืืฉืึทืก ืืึทืคึฟืขืื ืฉืืจื ืืืึธืก ืืืจ ืืขืืขื ืืื ืื "ืจืื" ืืึธืืก ืืื ื ืืฉื ืืขืจ ืจืขืืืืืึทื ืคืื ืืขืจ ืึธื ืืขืฉืืขืืืขืจ ืก ื ืึธืจืืึทื ืึทืจืืขื. ืืึทื ืฅ ืคืึทืจืงืขืจื, ืขืก ืืื ืืขืืืขื ืืืฉืขื ืขืจืืืืึทื ืืืจื ืึท C2-ืืื ืคึผืจืึธืฆืขืก - wmiexec, ืืื ืืื ืืขืจืืื ื ืคืจืืขืจ - ืืื ืืื ืืืืื ืืขืคึฟืืจื ืืืจื ืื WMI ืกืขืจืืืืก ืคึผืจืึธืฆืขืก (WmiPrvSe). ืืืฆื ืืืจ ืืึธืื ืึท ืืจืืื ืึทื ืึท ืืืืึทื ืึทืืึทืงืขืจ ืึธืืขืจ ืื ืกืืืืขืจ ืืื ืืขืกืืื ื ืื ืคึฟืืจืืข ืื ืคืจืึทืกืืจืึทืงืืฉืขืจ.
ืื ืืจืึธืืืืกืื ื Get-Sysmonlogs
ืืึธื ืขืก ืืื ืืจืืืก ืืืขื Sysmon ืฉืืขืื ืื ืืึธืืก ืืื ืืืื ืึธืจื. ืึธืืขืจ ืขืก ืืืึธืื ืืืกืืึธืืข ืืืื ืืคืืื ืืขืกืขืจ ืืืื ืืืจ ืงืขื ืึทืงืกืขืก ืืืื ืงืืึธืฅ ืคืขืืืขืจ ืคึผืจืึธืืจืึทืืืึทืืืงืึทืืื - ืคึฟืึทืจ ืืืึทืฉืคึผืื, ืืืจื PowerShell ืงืึทืืึทื ืื. ืืื ืืขื ืคืึทื, ืืืจ ืงืขื ืฉืจืืึทืื ืึท ืงืืืื PowerShell ืฉืจืืคื ืืืึธืก ืืืึธืื ืึธืืึทืืืื ืื ืืืื ืคึฟืึทืจ ืคึผืึธืืขื ืฆืืขื ืืจืขืฅ!
ืืื ืืื ื ืืฉื ืืขืืืขื ืืขืจ ืขืจืฉืืขืจ ืืืึธืก ืืึธื ืืขืืึทื ืึทืืึท ืืขืืึทื ืง. ืืื ืขืก ืืื ืืื ืึทื ืืื ืขืืืขืืข ืคืึธืจืื ืึทืจืืืงืืขื ืืื GitHub ืขืก ืืื ืฉืืื ืืขืจืงืืขืจื ืืื ืฆื ื ืืฆื PowerShell ืฆื ืคึผืึทืจืก ืื Sysmon ืงืืึธืฅ. ืืื ืืืื ืคืึทื, ืืื ืืขืืืืื ืฆื ืืืกืืืืื ืฆื ืฉืจืืึทืื ืืึทืืื ืืขืจ ืฉืืจืืช ืคืื ืคึผืึทืจืกืื ื ืฉืจืืคื ืคึฟืึทืจ ืืขืืขืจ Sysmon ืคืขืื. ืึทืืื ืืื ืืขืืืืื ื ืืขื ืคืืื ืืขื ืืฉ ืคึผืจืื ืฆืืคึผ ืืื ืืื ืืจืึทืืื ืืื ืืขืงืืืขื ืึทืจืืืฃ ืืื ืขืคึผืขืก ืืฉืืงืึทืืืข ืืื ืึท ืจืขืืืืืึทื.
ืืขืจ ืขืจืฉืืขืจ ืืืืืืืง ืคืื ื ืืื ืื ืคืืืืงืืึทื ืคืื ืื ืืึทื ืฉืึทืคึฟื ืืืืขื ืขื Sysmon ืืึธืืก, ืคืืืืขืจ ืื ื ืืืืืง ืืขืฉืขืขื ืืฉื ืืื ืจืขืืืืืึทื ืื ืจืขืืืืืึทื ืฆื ืื PS ืืืึทืืขืืืืืง, ืืื ืืึธ:
$events = Get-WinEvent -LogName "Microsoft-Windows-Sysmon/Operational" | where { $_.id -eq 1 -or $_.id -eq 11}
ืืืื ืืืจ ืืืืื ืฆื ืคึผืจืืืืจื ืื ืืึทืคึฟืขื ืืื, ืืืจื ืืืืึทืื ืืืง ืืขื ืืื ืืึทืื ืืื ืืขืจ ืขืจืฉืืขืจ ืขืืขืืขื ื ืคืื ืื $ events array, $ events[0]. ืึธื ืืึธื, ืืขืจ ืจืขืืืืืึทื ืงืขื ืขื ืืืื ืึท ืกืขืจืืข ืคืื โโืืขืงืกื ืกืืจืื ืืก ืืื ืึท ืืืืขืจ ืคึผืฉืื ืคึฟืึธืจืืึทื: ืื ื ืึธืืขื ืคืื ืื ืืึทืคึฟืขื. Sysmon ืคืขืื, ืึท ืฆืืืืืคึผืื ืื, ืืื ืืขืืึธืื ืืขืจ ืืืขืจื ืืื.
ืืืจืื! ืึทืจืืืกืคืืจื Sysmon ืงืืึธืฅ ืืื JSON-ืืจืืื ืคึฟืึธืจืืึทื
ืืืจ ืืจืึทืืื ืื ืืขืืืข ืืึทื ืืื ืืืจ? ืืื ืึท ืืืกื ืืขืจ ืื, ืืืจ ืงืขื ืขื ืืืึทืื ืื ืจืขืืืืืึทื ืืื ืึท JSON ืคืึธืจืืึทืืืขื ืฉืืจืืงื ืืื ืืขืืึธืื ืืึธืื ืขืก ืืืืื ืืื ืึท PS ืืืืคืขืฅ ืืื ืึท ืฉืืึทืจืง ืืึทืคึฟืขื. .
ืืื ืืืขื ืืืืึทืื ืื PowerShell ืงืึธื ืคึฟืึทืจ ืื ืงืึทื ืืืขืจืืฉืึทื - ืืึธืก ืืื ืืืืขืจ ืคึผืฉืื - ืืื ืืขืจ ืืืืึทืืขืจ ืืืื. ืืืฆื, ืืึธืืืจ ืืขื ืืืึธืก ืืืื ื ืืึทืข ืืึทืคึฟืขื ืืขืจืืคื get-sysmonlogs, ืืืึธืก ืืื ืืื ืกืืึทืืืจื ืืื ืึท ืคึผืก ืืึธืืืืข, ืงืขื ืขื ืืึธื.
ืึทื ืฉืืึธื ืคืื ืืืืืืื ื ืืืฃ ืืื Sysmon ืงืืึธืฅ ืึทื ืึทืืืกืืก ืืืจื ืึท ืืืืึทืงืืืขื ืืขืฉืขืขื ืืฉ ืงืืึธืฅ ืฆืืืื ื, ืืืจ ืงืขื ืขื ืขืคืขืจืืืึทืก ืืืื ืคึฟืึทืจ ืื ืงืจืึทืืขื ืืึทื ืืขืืืงืืื ืืืืึทื ืคึฟืื ืึท PowerShell ืกืขืกืืข, ืืื ื ืืฆื ืื PS ืืึทืคึฟืขื. (ืึทืืืึทืก - "?") ืฆื ืคืึทืจืงืืจืฆื ืื ืืืื ืจืขืืืืืึทืื:
ืจืฉืืื ืคืื ืงืื ืฉืขืื ืืึธื ืืฉื ืืืจื WMI. ืกืึทืงืึธื ืข ืึทื ืึทืืืกืืก ืืืืฃ ืื ืืืืืง ืืื ืืื ืืืขืจ ืืืืืขื ืข ืืึทืงืืืขื-Sysmonlogs ืืึทื ืฉืึทืคึฟื
ืืืื ืืขืจืืขื! ืืื ืืืฉืืคื ืึท ืืขืฆืืึทื ืฆื ืืึทืงืืืขื ืื Sysmon ืงืืึธืฅ ืืื ืืืื ืขืก ืืื ืืขืืืขื ืึท ืืึทืืึทืืืืก. ืืื ืืื ืืืขืจ ืึทืจืืืงื ืืืขืื ืขืก ืืื ืืขืืืขื ืืืืขืจืงื ืึทื ืื ืคืื ืงืฆืืข ืืืขื ืืืื ืืืจืืืขืงืึธืื ืืืจื ืื ืงืื ื ืืฆื ืืืกืงืจืืืื ืืื ืขืก, ืืึธืืฉ ืคืึธืจืืึทืื ื ืึธื ืืืจื ืึท ืคืึทืงืืืฉ ืกืงื-ืืื ืฆืืืื ื. ืืึธ, EQL ืขืืขืืึทื ื, ืืืข ืจ ืื ืจ ืฐืขืืข ื ืื ื ื ืืจืืืข ื ืืฒื ืจ ืื ืจืืจื .
Sysmon ืืื ืืจืึทืคืืง ืึทื ืึทืืืกืืก
ืืื ืก ืืจืขืื ืฆืืจืืง ืืื ืืจืึทืืื ืืืขืื ืืืึธืก ืืืจ ื ืึธืจ ืืืฉืืคื. ืืกืขื ืฉืึทืื, ืืืจ ืืืฆื ืืึธืื ืึท Windows ืืขืฉืขืขื ืืฉ ืืึทืืึทืืืืก ืฆืืืจืืืืขื ืืืจื PowerShell. ืืื ืืื ืืืืขืจืงื ืคืจืืขืจ, ืขืก ืืขื ืขื ืงืึทื ืขืงืฉืึทื ื ืึธืืขืจ ืืืฆืืื ืืขื ืฆืืืืฉื ืจืขืงืึธืจืืก - ืืืจื ืื ParentProcessId - ืึทืืื ืึท ืืึทื ืฅ ืืืืขืจืึทืจืงื ืคืื ืคึผืจืึทืกืขืกืึทื ืงืขื ืขื ืืืื ืืืงืืืขื.
ืืืื ืืืจ ืืึธื ืืืืขื ืขื ืื ืกืขืจืืข ืืืจ ืืืืกื ืึทื ืืึทืงืขืจื ืืืืข ืฆื ืฉืึทืคึฟื ืงืึธืืคึผืืขืงืก ืืึทืืื-ืืื ืข ืื ืคืืื, ืืื ืืืึธืก ืืขืืขืจ ืคึผืจืึธืฆืขืก ืคืืขืกืขืก ืืืื ืืืืืขื ืข ืงืืืื ืจืึธืืข ืืื ืคึผืจืืคึผืขืจื ืึท ืกืคึผืจืื ืืืึธืจื ืคึฟืึทืจ ืืขืจ ืืืืึทืืขืจ ืฉืจืื. ืขืก ืืื ืืึธืจ ืฉืืืขืจ ืฆื ืืึทืคึผื ืึทืืึท ืืืื ืคืฉืื ืคืื ืื "ืจืื" ืงืืึธืฅ.
ืึธืืขืจ ืืื ืืืื Get-Sysmonlogs ืืึทืคึฟืขื ืืื ืึทื ื ืึธื ืืึทืื ืกืืจืืงืืืจ ืืืึธืก ืืืจ ืืืขืื ืืขื ืฉืคึผืขืืขืจ ืืื ืืขื ืืขืงืกื (ืึท ืืจืึทืคืืง, ืคืื ืงืืจืก), ืืืจ ืืึธืื ืึท ืคึผืจืึทืงืืืฉ ืืืขื ืฆื ืืขืืขืงื ืืจืขืฅ - ืืืึธืก ื ืึธืจ ืจืืงืืืืืขืจื ืื ืจืขืื ืืืขืจืืขืงืก ืืืื.
ืืื ืฉืืขื ืืืง ืืื ืืื ืืืขืจ DYI ืืืึธื ืคึผืจืึทืืืฉืขืงืก, ืื ืืขืจ ืืืจ ืึทืจืืขื ืืืืฃ ืึทื ืึทืืืืืื ื ืื ืืขืืึทืืืก ืคืื ืืจืขืฅ ืืืืฃ ืึท ืงืืืื ืืืึธื, ืื ืืขืจ ืืืจ ืืืขื ืคืึทืจืฉืืืื ืืื ืงืึธืืคึผืืขืงืก ืกืึทืงืึธื ืข ืืืืขืงืฉืึทื ืืื ืืืืฃ ืื ืคืึทืจื ืขืืื ื ืืืจืื. ืืื ืืขื ืืืืกืืงืืึทื ืืื ืืึธืจ ืืืืืืืง ืคืื ื.
ืืืจ ืืืขืื ืืจืขืคื ืื ืขืจืฉืืข ืืฉืืงืึทืืืข ืงืึทืืคึผืืึทืงืืืฉืึทื ื ืืื ืื ืจืืข ืืืื ืคืื ืืขื ืึทืจืืืงื, ืืื ืืืจ ืืืขืื ืึธื ืืืืื ืฆื ืคืึทืจืืื ืื Sysmon events ืืื ืืขืืขืจ ืื ืืขืจืข ืืื ืคืื ืืขืจ ืงืึธืืคึผืืืฆืืจื ืกืืจืึทืงืืฉืขืจื.
ืืงืืจ: www.habr.com