Sysmon 增强审计速查
Sysmon 是微软 Sysinternals 提供的系统监控驱动，把原生日志覆盖不到的细节写进 Microsoft-Windows-Sysmon/Operational 通道：进程创建、网络连接、驱动加载、镜像加载、文件创建、注册表持久化等。它是终端审计与入侵排查的事实标准增强项，但必须配合过滤配置使用，否则默认产生的日志量会迅速失控。
基本信息
| 适用平台 | Windows 7 / Server 2008 R2 以上 |
|---|---|
| 日志通道 | Microsoft-Windows-Sysmon/Operational |
| 部署方式 | Sysmon 二进制加配置文件，安装为系统服务 |
| 常用事件 ID | 1 进程、3 网络、6 驱动、7 模块、11 文件、12-14 注册表 |
| 版本注意 | 不同版本支持的事件类型与字段略有差异 |
典型使用场景
- 排查可疑进程：看进程创建事件的命令行、父进程与文件哈希
- 追踪外联行为：用网络连接事件看某个进程连了哪些远端地址
- 监控驱动与模块加载，发现异常内核组件或注入行为
- 审计注册表 Run 键、服务创建这类持久化动作
- 为事件转发或安全平台提供比原生日志更细的数据源
- 先观察正常业务产生的事件量，再据此设计过滤规则
常用示例
常用示例
Get-WinEvent -LogName 'Microsoft-Windows-Sysmon/Operational' -MaxEvents 10 |
Select-Object TimeCreated, Id, Message -First 5
# 查某类进程的创建记录：
Get-WinEvent -FilterHashtable @{LogName='Microsoft-Windows-Sysmon/Operational'; Id=1} -MaxEvents 20 |
Where-Object Message -match 'powershell' | Select-Object TimeCreated, Message
REM 安装与更新配置（管理员执行）：
REM sysmon64.exe -accepteula -i sysmonconfig.xml
REM sysmon64.exe -c sysmonconfig.xml # 只更新配置常用事件 ID
| 事件 ID | 内容 | 排查价值 |
|---|---|---|
| 1 | 进程创建 | 命令行、父进程、哈希 |
| 3 | 网络连接 | 进程与远端地址的对应关系 |
| 6/7 | 驱动与模块加载 | 异常内核组件 |
| 11 | 文件创建 | 落地文件与投放位置 |
| 12-14 | 注册表操作 | 持久化与配置篡改 |
默认配置下 Sysmon 噪音很大，尤其是模块加载与注册表事件；上线前先用配置文件收敛范围，只记录目标行为，再逐步扩大覆盖面。
配置文件要当作资产做版本管理：升级 Sysmon 或调整规则后行为会变化，变更需留记录，并与告警规则、解析脚本同步复核。