Sysmon — инструмент Microsoft Sysinternals для регистрации подробных событий активности Windows. Он использует службу и драйвер, записывая события, например о процессах, файлах и сетевых соединениях, в журнал Windows. Набор данных зависит от конфигурации. Sysmon предоставляет телеметрию, но сам по себе не определяет, является ли событие атакой.
Что такое Sysmon и для чего он нужен?
Телеметрия процессов и системы для расследований: возможности Sysmon, зависимость от конфигурации и отличие от готового средства обнаружения угроз.
Короткий ответ
Что ответить на собеседовании
Подробный разбор
Ответ с пояснениями
System Monitor, или Sysmon, помогает собрать подробную телеметрию для диагностики и расследования инцидентов. В Windows он устанавливает службу и драйвер; события поступают в журнал Microsoft-Windows-Sysmon/Operational. Возможности описаны на странице Microsoft Sysinternals.
В зависимости от правил сбора доступны создание и завершение процессов, сетевые соединения, загрузка образов и драйверов, отдельные изменения файлов и реестра, DNS-запросы. Для процессов полезны командная строка, родитель, хеши и ProcessGuid, который помогает связывать события надёжнее одного повторно используемого PID.
Важно не обещать сбор всего по умолчанию: некоторые события выключены или отфильтрованы. Избыточная конфигурация создаёт шум и нагрузку; слишком узкая — пробелы в расследовании. Перед использованием проверяют правила, поступление событий, объём хранения и передачу в централизованную систему.
Sysmon не заменяет антивирус или аналитика. Запуск необычного процесса — наблюдение, которое нужно сопоставить с пользователем, временем, родительским процессом и другим контекстом. Сам факт наличия события не доказывает компрометацию.
На собеседовании достаточно связать назначение инструмента, несколько примеров телеметрии и дальнейший анализ, а не просто перечислить номера Event ID.