安装与常用事件
安装与常用事件
sysmon -accepteula -i sysmonconfig.xml # 安装并加载配置
sysmon -c # 查看当前配置
# 事件 ID：1 进程创建 / 3 网络连接 / 7 镜像加载 / 11 文件创建
# 12-14 注册表 / 22 DNS 查询配置建议按资产角色裁剪（服务器与办公终端策略不同），并把配置文件纳入版本管理，避免"全收"造成噪声与成本失控。
Sysmon：Windows 端点详单日志
Sysmon 补充系统自带日志的粒度：记录进程创建、网络连接、镜像加载、注册表与 DNS 查询，适合溯源与异常检测，配置应做裁剪与版本管理。
易错点
- 全量不裁剪：日志量可达每日数十 GB，分析成本高
- 只装不集中：本地日志易被攻击者清理
数据来源与参考
- Microsoft Sysmon 官方文档（Sysinternals）