蓝队技术 | 使用Sysmon日志识别和分析Windows恶意活动

要解决的问题

在开始本文的内容之前，我们需要先在脑海里记住以下几个问题，并带着这些问题来阅读本文：

希望大家阅读完本文之后，能够解决上述的这八个问题。

Sysmon

背景

Sysmon日志是由Microsoft系统监视器（Sysmon）生成的事件日志，它们提供有关Windows上的系统级操作的详细信息，并记录进程启动、网络连接、文件和注册表修改、驱动程序和服务活动以及WMI操作等活动，通过分析Sysmon日志，安全专家可以检测潜在风险、发现异常并响应安全事件，以增强整体系统监控和安全性。在不断变化的网络安全环境中，提前防范威胁非常重要。

Sysmon日志在这项工作中发挥着至关重要的作用，它提供了有价值的见解，并使组织能够加强其安全态势。Windows是企业环境中的主要操作系统，全面了解Windows事件日志、其独特特征和局限性以及通过Sysmon进行增强的潜力至关重要。

Event ID

Sysmon日志中所使用的全部Event ID都已经在微软的Sysmon页面上进行了介绍，其中包括：

工具

本文所进行的安全分析都将在一台Windows VM虚拟机中执行，并配置好Linux Bash Shell的Windows子系统。由于分析过程中会遇到大量的JSON数据，因此本文选择使用jq工具，该工具可以使用choco包管理器安装，安装命令如下：

代码语言：javascript代码运行次数：0运行复制

choco install jq

登录后复制