| 常用 ID | 1 进程创建、3 网络连接、6 驱动加载、7 模块加载、11 文件创建、12-14 注册表 |
|---|---|
| 部署 | Sysmon 二进制 + 配置文件（过滤规则）+ 服务安装 |
| 日志 | Microsoft-Windows-Sysmon/Operational |
常用示例
常用示例
Get-WinEvent -LogName 'Microsoft-Windows-Sysmon/Operational' -MaxEvents 10 | Select-Object TimeCreated, Id, Message -First 5
:: 查某进程的创建链
Get-WinEvent -FilterHashtable @{LogName='Microsoft-Windows-Sysmon/Operational'; Id=1} -MaxEvents 20 | Where-Object Message -match 'powershell' | Select-Object TimeCreated, MessageSysmon 默认配置噪音大：先设计过滤配置（只记目标行为），再全量推开。