Sysmon; Introdução, instalação e configuração

Introdução
Ser capaz de ver o que nossos endpoints estão fazendo é muito importante para um analista de SOC, pois isso pode ajudar a identificar onde os ataques/ameaças podem ter se originado. Essa visibilidade de um ponto final é muito importante, especialmente ao investigar um comprometimento. Entretanto, para sistemas Windows, o registro geralmente é feito por padrão, mas as configurações de registro padrão não são suficientes, pois ele não rastreia certos eventos (como criação de processos, hashes de arquivos executados etc.).
Podemos modificar as configurações de auditoria para habilitar esses eventos ou podemos instalar uma ferramenta chamada SYSMON, que pode coletar dados que serão úteis durante uma investigação.

O que é Sysmon (Monitoramento de Sistemas)?
Sysmon é uma ferramenta complementar gratuita da Microsoft (parte do pacote Sysinternals) usada para registro do Windows e fornece muita telemetria que pode ajudar a aumentar as chances de detectar atividades maliciosas, entre outras coisas. O Sysmon tem a capacidade de monitorar eventos como criação de processos, criação de arquivos, monitoramento de rede e muito mais.
É bastante personalizável com o auxílio de um arquivo de configuração opcional, mas altamente recomendado por especialistas para poder controlar quais eventos devem ser registrados.

Sysmon traz um campo importante chamado `Process GUID` que pode ser usado para correlacionar eventos. O Sysmon também captura conexões de rede, o que inclui: IPs de origem e destino, processos de portas etc. envolvidos na criação da conexão. O registro de rede geralmente é desabilitado por padrão e geralmente é habilitado por meio da configuração.
A versão mais recente do Sysmon (v15.15) tem até 30 IDs de eventos, que incluem:

Este link fornece mais informações sobre os métodos de identificação de eventos da Sysmon.

Com toda a introdução ao que o Sysmon está fora do caminho, vamos direto para a instalação

Receba histórias de Mikey O.’s na sua caixa de entrada

Cadastre-se no Medium gratuitamente para receber atualizações deste escritor.

Instalando o Sysmon
Para instalar o Sysmon em nosso servidor Windows:
– Abra o navegador Edge e procure por Sysmon na barra de pesquisa. Clique no link Microsoft Learn e prossiga para baixar o Sysmon.

Abra o PowerShell na pasta pressionando `SHIFT+Clique com o botão direito`.

Configurando o agente elástico com Sysmon
Aqui criaremos uma política para nosso servidor Windows e instalaremos um agente nele
– Clique em `Adicionar agente`, nomeie sua política adequadamente e clique em `Criar política`
–
–
–

Aí está, temos nosso servidor Fleet e o servidor Windows. Embora ainda tenhamos mais uma política de servidor para adicionar, na próxima vez tentarei ingerir dados dos sistemas que temos adicionando integrações e talvez tentar alguns ataques, se possível.