Fiche mémo

Configuration Sysmon

Installer Sysmon et écrire sa configuration : ce qu'on journalise et ce qu'on écarte. Les numéros d'événements sont dans Event IDs Windows.

CDSA CDEPDétection

Commandes

Commande	Effet
sysmon64 -accepteula -i config.xml	Installer Sysmon avec une configuration
sysmon64 -c config.xml	Appliquer une nouvelle configuration
sysmon64 -c	Afficher la configuration en cours
sysmon64 -s	Afficher le schéma de configuration
sysmon64 -u	Désinstaller Sysmon

Les événements arrivent dans le journal Microsoft-Windows-Sysmon/Operational.

Structure de la configuration

Élément	Rôle
<Sysmon schemaversion>	Racine du fichier, avec la version du schéma
<HashAlgorithms>	Hachés calculés : MD5, SHA1, SHA256, IMPHASH
<EventFiltering>	Contient toutes les règles de filtrage
<RuleGroup>	Groupe de règles combinées par and ou or (groupRelation)
onmatch="include"	Ne journaliser que ce qui correspond
onmatch="exclude"	Tout journaliser sauf ce qui correspond
<ProcessCreate>	Filtre de l'événement 1 (création de processus)
<NetworkConnect>	Filtre de l'événement 3 (connexion réseau)
<ProcessAccess>	Filtre de l'événement 10 (accès à un processus)

<Sysmon schemaversion="4.90">
  <HashAlgorithms>SHA256,IMPHASH</HashAlgorithms>
  <EventFiltering>
    <RuleGroup name="" groupRelation="or">
      <ProcessCreate onmatch="exclude">
        <Image condition="is">C:\Windows\System32\svchost.exe</Image>
      </ProcessCreate>
    </RuleGroup>
    <RuleGroup name="" groupRelation="or">
      <ProcessAccess onmatch="include">
        <TargetImage condition="end with">lsass.exe</TargetImage>
      </ProcessAccess>
    </RuleGroup>
  </EventFiltering>
</Sysmon>

Conditions de filtrage

Condition	Effet
is	Égalité exacte (par défaut)
is not	Valeur différente
is any	Égale à l'une des valeurs séparées par ;
contains	Contient la valeur
contains any	Contient l'une des valeurs séparées par ;
excludes	Ne contient pas la valeur
begin with	Commence par la valeur
end with	Se termine par la valeur
image	Compare le nom de l'exécutable, avec ou sans chemin
less than	Valeur inférieure (comparaison de chaînes)

Partir d'une base reconnueLes configurations publiques SwiftOnSecurity/sysmon-config (point de départ simple) et olafhartong/sysmon-modular (modulaire, reliée à ATT&CK) évitent de tout écrire. Tester ensuite le volume produit avant de déployer.