Sysmon 网络连接事件是什么
Sysmon 事件 3 把进程与出站连接绑定在一起，回答「哪个程序连了哪个地址与端口」。它是外联溯源在端点侧的锚点：有了它，就不必再靠时间推测是哪个进程在通信。
基本信息
| 适用平台 | Windows，需部署 Sysmon 并开启网络连接记录 |
|---|---|
| 关键字段 | Image、SourceIp、DestinationIp、DestinationPort、Protocol |
| 互补数据 | 防火墙与代理日志，用于确认连接是否成功 |
| 局限 | 只记录发起方向的配置会遗漏回连 |
典型使用场景
- 确认某次可疑外联由哪个程序发起
- 与防火墙日志对照，判断连接是否被放行
- 排查周期性外联对应的进程
- 定位下载行为的发起者
- 为进程级封禁与检测规则提供依据
- 把外联记录与目的地址归属对照，筛出非常用目的地
- 统计每台主机的对外目的地数量，异常增长提示异常行为
- 与文件创建事件按时间对齐，还原下载与外联的组合
- 把外联目的与发起进程路径组合成清单，用于与基线比对
按目的筛查
按目的筛查
Get-WinEvent -LogName 'Microsoft-Windows-Sysmon/Operational' |
Where-Object { $_.Id -eq 3 -and $_.Message -match '203.0.113.' } |
Select-Object -First 10 TimeCreated, Message
# 按进程聚合：先看是哪个程序在反复对外连接，再看它连了哪些目的地址字段读法
| 字段 | 含义 | 注意 |
|---|---|---|
| Image | 发起连接的进程 | 临时目录下的路径优先看 |
| 源与目的地址 | 连接两端 | 目的地址结合情报判断 |
| DestinationPort | 目的端口 | 非常用端口或高位端口需关注 |
| Protocol | 协议类型 | 留意非标准协议的使用 |
| User | 执行账号 | 服务账号的外联行为需单列 |
UDP 短连接的日志量很大。先按目的地址或进程聚合再抽查，逐条看会直接淹没在噪声里。
只记录发起方向的配置会让回连缺席。评估覆盖范围时先确认记录方向的设置。
连接记录里混有大量正常业务流量（更新、遥测、同步）。先建立常用目的地白名单，再看离群项。
只记录某一种地址族的配置下，另一类地址与本地回环的连接不会出现，评估覆盖范围时要把这点写进结论。
把同一进程在多台主机上的外联目的做横向比较，单机看不出的异常在对比中往往更明显。