sysmon 설치하기

 

1. 설치

https://learn.microsoft.com/ko-kr/sysinternals/downloads/sysmon

 

Sysmon - Sysinternals

윈도우에 설치 할 것이므로 윈도우로 다운로드

 

다운로드 받고 압축을 풀고 설치한다

아래 명령어 입력

sysmon -i -accepteula

 

2. 설정

설정은 xml 파일이 필요하다

https://www.ibm.com/docs/en/qradar-common?topic=endpoint-configure-windows-endpoints

Configure Windows endpoints

IBM 에서도 아래 설정 사용을 권장하고 있다

https://github.com/SwiftOnSecurity/sysmon-config/blob/master/sysmonconfig-export.xml

sysmon-config/sysmonconfig-export.xml at master · SwiftOnSecurity/sysmon-config

# 설정과 같이 설치
sysmon.exe -accepteula -i sysmonconfig-export.xml

# 기존 구성 업데이트
sysmon.exe -c sysmonconfig-export.xml

# 제거
sysmon.exe -u

이미 기존에 설치 하였으므로 설정 업데이트 실시

잘 업데이트 되었다

 

 

참고 목록

https://medium.com/@olafhartong/endpoint-detection-superpowers-on-the-cheap-part-1-e9c28201ac47