Пример конфигурации Sysmon XML

Sysmon - это мощный инструмент мониторинга для систем Windows. Невозможно раскрыть всю его мощь без использования конфигурационного XML, который позволяет включать или исключать определенные типы событий или события, генерируемые определенным процессом. Используйте конфигурацию для исключения источников большого объема или типов событий, представляющих меньший интерес (например, завершение процесса).

Table of Contents

Пример файла конфигурации

Следующий пример может помочь вам понять формат и определить свои собственные правила.

<sysmon schemaversion="1.0">
<configuration>
    
    <hashing>MD5</hashing>
    
    <network />
</configuration>
<rules>
    
    
    <driverLoad default="include">
        <signature condition="contains">microsoft</signature>
        <signature condition="contains">windows</signature>
    </driverLoad>
    
    <processTerminate />
    
    <processCreate default="include">
        <image condition="contains">chrome.exe</image>
    </processCreate>
    
    <fileCreateTime />
    
    <networkConnect default="include">
        <image condition="contains">chrome.exe</image>
        <destinationPort>123</destinationPort>
    </networkConnect>
</rules>
</sysmon>

</configuration>

<rules>

<signature condition="contains">microsoft</signature>

<signature condition="contains">windows</signature>

</driverLoad>

<image condition="contains">chrome.exe</image>

</processCreate>

<image condition="contains">chrome.exe</image>

</networkConnect>

</rules>

</sysmon>

Ниже перечислены доступные условия для записей поля:

is - По умолчанию, значения равны.
is not - Значения различны.
contains - Поле содержит данное значение.
excludes - Поле не содержит этого значения.
begin with - Поле начинается с этого значения.
end with - Поле заканчивается этим значением.
less than - Лексикографическое сравнение меньше нуля.
more than - Лексикографическое сравнение больше нуля.
image - Сопоставить путь к образу (полный путь или только имя образа). Например: lsass.exe будет соответствовать c:\windows\system32\lsass.exe.

Пример файла конфигурации для последней версии

По умолчанию в журнал пишутся все события, файл конфигурации позволяет более узко указать какие процессы записывать или исключать

<HashAlgorithms>md5,sha1,sha256</HashAlgorithms>
<CheckRevocation/>
<EventFiltering>

<RuleGroup name="" groupRelation="or">
        <ProcessCreate onmatch="exclude">
           
           <CommandLine condition="begin with">"C:\Program Files (x86)\Google\Chrome\Application\chrome.exe" --type=</CommandLine> 
           <CommandLine condition="begin with">"C:\Program Files\Google\Chrome\Application\chrome.exe" --type=</CommandLine>
        </ProcessCreate>
     </RuleGroup>

<RuleGroup name="ProcessTerminate - Include" groupRelation="or">
        <ProcessTerminate onmatch="include">
            
        </ProcessTerminate>
    </RuleGroup>

<RuleGroup name="" groupRelation="or">
       <RegistryEvent onmatch="include">
           
           <TargetObject condition="contains">CurrentVersion\Run</TargetObject>
       </RegistryEvent>
    </RuleGroup>
</EventFiltering>
</Sysmon>

<CommandLine condition="begin with">"C:\Program Files (x86)\Google\Chrome\Application\chrome.exe" --type=</CommandLine>

<CommandLine condition="begin with">"C:\Program Files\Google\Chrome\Application\chrome.exe" --type=</CommandLine>

</ProcessCreate>

</RuleGroup>

</ProcessTerminate>

</RuleGroup>

<TargetObject condition="contains">CurrentVersion\Run</TargetObject>

</RegistryEvent>

</RuleGroup>

</EventFiltering>

</Sysmon>