เผยแพร่เมื่อวันที่ 10 มีนาคม 2569 เวลา 11:00 น. EDT
Oluwademilade เป็นผู้ชื่นชอบเทคโนโลยีที่มีประสบการณ์เขียนมากกว่า 5 ปี เขาร่วมทีม MUO ในปี 2565 และครอบคลุมหัวข้อหลากหลาย รวมถึงเทคโนโลยีผู้บริโภค iOS Android ปัญญาประดิษฐ์ ฮาร์ดแวร์ ซอฟต์แวร์ และความปลอดภัยทางไซเบอร์ นอกจากการเขียนที่ MUO ผลงานของเขายังปรากฏบน HowtoGeek Cryptoknowmics TechNerdiness 和 SlashGear
Oluwademilade เรียนจบจากมหาวิทยาลัยอิบาดาน在ナイジェリア ได้รับปริญญาแพทยศาสตร์จากคณะแพทยศาสตร์ 他在公共服務方面表現出色，榮獲與聯合國相關的學生組織頒發的全球行動大使稱號。他在2020年於馬來西亞吉隆坡接受這一榮譽，以表彰他為製造積極的全球影響所做的努力
在空閒時間 他享受測試新的AI應用和功能，為家人和朋友解決技術問題，學習新的編程語言，並在可能的情況下前往新地方旅行。
คุณอาจสมมติว่าหากมีอะไรเงียบช้าเกิดขึ้นบน PC ของคุณ antivirus จะจับได้ และอาจจะจับได้ — ในที่สุด แตเมื่อ traditional security software ยก flag ไปแล้ว ความเสียหายอาจเกิดขึ้นแล้ว ไม่如讓คอมพิวเตอร์เก็บ detailed running journal ของทุกอย่างที่เกิดขึ้นใต้ฝาครอบ: ทุก process ที่ launch ทุก network connection ที่เปิด ทุกครั้งที่ file creation timestamp ถูก alter อย่างน่าสงสัย?
นั่นคือสิ่งที่ Sysmon ทำ มันเป็นฟรี Microsoft-built tool ที่เป็นส่วนของ broader category ของ Windows Sysinternals tools สำหรับจับ suspicious behavior สิ่งน่าสนใจคือ แม้ utilities เหล่านี้จะเป็น gold standard สำหรับการหา spyware และ adware บน PC ของคุณ แต่วันนี้ Windows users ทั่วไปส่วนใหญ่ไม่เคยได้ยินมัน
Sysmon ให้ Windows ระดับ visibility ที่ built-in logging ไม่ match ได้
Event Viewer ไม่เคยจะเพียงพอ
Windows เก็บ event logs อยู่แล้ว และหากคุณเคยเปิด Event Viewer เพื่อ troubleshoot issues คุณน่าจะสังเกตว่ามัน chaotic มากแค่ไหน มี noise เยอะและไม่มี clarity พอ Sysmon ย่อมาจาก System Monitor เป็น different animal entirely เมื่อติดตั้ง มันรันเป็น persistent system service และ device driver รอด reboots และเขียน richly detailed events ไปที่ Windows event log ความแตกต่างคล้ายกับการเปรียบเทียบ security camera ขี้霧 กับอันที่อ่าน license plates ได้
Sysmon's event catalog logs process creation พร้อม full command-line arguments ดังนั้นคุณไม่ได้แค่เห็นว่าโปรแกรมรัน คุณเห็นว่ามันถูก launch ยังไง มันยัง record network connections รวมถึง originating process, IP address, port และ hostname นั่นทำให้ trace ได้ว่า application ไหน contact server ไหน และเมื่อไหร่ มันแม้แต่ flag การเปลี่ยนแปลง file creation timestamps ซึ่งเป็น classic trick ที่ malware ใช้เพื่อปลอมตัวเป็น legitimate system files นอกจากนี้ Sysmon ยังเฝ้าดriver loading, registry changes, DNS queries และ advanced techniques เหมือน process hollowing ที่ logged under Event ID 25 ที่ malicious code ซ่อนอยู่ใน Windows process ที่ essential ปกติ
นี่คือ draft table ครอบคลุม most security-relevant event IDs:
| Event ID | Name | What It Captures |
|---|---|---|
| 1 | Process Create | ทุก process ที่ launch รวมถึง full command line, parent process และ file hash เป็น single most useful event สำหรับ spot suspicious executions |
| 2 | File Creation Time Changed | Flag เมื่อ process เปลี่ยนแปลง file creation timestamp โดยเจตนา classic malware tactic เพื่อ blend in กับ legitimate system files |
| 3 | Network Connection | Logs outbound TCP/UDP connections เชื่อมแต่ละอันกับ process ที่สร้างมัน essential สำหรับ detect beaconing หรือ data exfiltration |
| 6 | Driver Loaded | Records kernel drivers เมื่อพวกมัน load รวมถึง signature status Unsigned หรือ unexpected drivers เป็น serious red flag |
| 7 | Image Loaded | Tracks DLLs loading into processes disabled by default เนื่องจาก volume แต powerful สำหรับ detect DLL hijacking เมื่อ filtered อย่างระมัดระวัง |
| 8 | Create Remote Thread | Detects เมื่อ process หนึ่ง inject thread เข้าอีก process หนึ่ง hallmark technique ของ code injection และ process hollowing attacks |
| 10 | Process Access | Fires เมื่อ process หนึ่งเปิด memory ของอีก process หนึ่ง catching credential theft tools targeting LSASS (process ที่เก็บ Windows login secrets) |
| 11 | File Create | Logs new files created หรือ overwritten โดยเฉพาะ useful เมื่อ watching Temp, Downloads และ Startup folders |
| 12–14 | Registry Events | ครอบคลุม registry key creation, deletion, value changes และ renames primary way ที่ malware establishes persistence across reboots |
| 15 | File Create Stream Hash | Catches files downloaded via browser โดย logging Zone Identifier stream attached ไปด้วย useful สำหรับ trace origin ของ suspicious executables |
| 17–18 | Pipe Events | Monitors named pipe creation และ connections common inter-process communication method 用於 malware 和 post-exploitation frameworks 如 Cobalt Strike |
| 19–21 | WMI Events | Tracks WMI filter และ consumer registration favored fileless persistence technique ที่ทิ้ง trace เกือบไม่มีโดยไม่มี event นี้ |
| 22 | DNS Query | Logs ทุก DNS lookup ที่ process ทำ ทำให้ spot connections 去 known malicious domains ได้ แม้ก่อน full TCP connection established |
| 25 | Process Tampering | Detects process hollowing 和 herpaderping (techniques ที่ replace legitimate process memory ด้วย malicious code 以 evade detection) |
| 29 | File Executable Detected | Flags การสร้าง executable (PE format) file ใหม่บนระบบ strong early indicator ของ dropper 或 installer 正在運行 |
วิธีติดตั้งและรัน Sysmon
หากคุณเปิด terminal ได้ คุณผ่านไปได้ใหญ่แล้ว
Sysmon เป็น free download จาก Microsoft's Sysinternals page (version 15.15 ตามการเขียน) และ installation เป็น single command คุณต้องการ administrator privileges และ brief detour ผ่าน PowerShell หรือ Command Prompt แตกระบวนการทั้งหมดใช้เวลา under five minutes
ไปที่ official Sysmon page บน Microsoft Learn download ZIP file (ประมาณ 4.6MB) และ extract contents จากนั้นเปิด PowerShell หรือ Command Prompt as administrator navigate ไปที่โฟลเดอร์ และรัน:
.\sysmon64 -accepteula -i
นี่คือ basic install: Sysmon จะติดตั้ง service และ driver ในพื้นหลัง จริงๆ แล้วคุณไม่ต้อง reboot จากจุดนั้นเป็นต้นไป มันเริ่ม logging events ไปที่ Applications and Services Logs → Microsoft → Windows → Sysmon → Operational in Event Viewer คุณสามารถดู logs ได้ทันที
Uninstall ก็ง่ายเท่ากัน: sysmon64 -u Tool ไม่เคยพยายาม entrench ตัวเอง ซึ่งผมเคารพ
คุณไม่ต้องทำความเข้าใจคนเดียว
Default Sysmon installation functional แต่มัน really comes into its own กับ configuration file Sysmon รับ XML config ที่ระบุว่า events ไหนถึง log, events ไหนถึง filter out และ granular มากแค่ไหน หากคุณไม่คุ้นเคยกับ format คุณสามารถ brush up ได้ว่า XML file คืออะไร และใช้ยังไง เพราะไฟล์เหล่านี้ define "logic" ที่ Sysmon ใช้ monitor ระบบของคุณ การเขียนของคุณเองจากศูนย์เป็น project — แตคุณไม่ต้อง
Cybersecurity community ผลิต ready-made configs ที่ outstanding มากที่สุดคือ SwiftOnSecurity sysmon-config ฟรีบน GitHub เกือบ 5,000 stars และ 1,700+ forks มันถูก tuned อย่างระมัดระวังให้ capture security-relevant events ในขณะที่ filter out noise ที่จะทำให้ logs ของคุณ unreadable ทุกบรรทัดมี comment ดังนั้นมันเป็น tutorial ด้วย เพื่อติดตั้งกับ config นี้ คุณจะรัน:
sysmon64 -accepteula -i sysmonconfig-export.xml
เพื่อ update existing installation ด้วย config file ใหม่:
sysmon64 -c sysmonconfig-export.xml
หากคุณอยากได้อะไรแม้แต่มากกว่านั้น modular sysmon-modular project โดย Olaf Hartong (บน GitHub) เสนอ composable, community-maintained approach ที่ map ตรงกับ MITRE ATT&CK framework ทั้งสองเป็น excellent starting points
มันไม่หยุดทุก attack แตคุณจะรู้ว่ามันเกิดขึ้น
คุณไม่ต้องเป็น security engineer เพื่อรัน Sysmon ให้ดี คุณต้องการ decent config file ความยินดีที่จะเปิด Event Viewer บ้าง และความพอใจในการรู้ว่าหากมีอะไรแปลกๆ เกิดขึ้นบนเครื่องของคุณ คุณจะมี record ของมัน Peace of mind นั้น เพื่อผม คุ้มค่ากับ five minutes ของ setup
