Parlem d'una eina avan\u00e7ada de monitoritzaci\u00f3 d'esdeveniments del sistema, desenvolupada per Microsoft com a part del paquet Sysinternals Suite<\/strong>. El seu objectiu principal \u00e9s ajudar-nos com a professionals de la seguretat a capturar i analitzar esdeveniments detallats del sistema operatiu, com la creaci\u00f3 de processos<\/strong>, connexions de xarxa<\/strong>, canvis en fitxers<\/strong> i altres activitats potencialment sospitoses<\/strong>, per identificar amenaces de seguretat.<\/p> Sysmon genera una quantitat significativa de dades. Per aix\u00f2, els esdeveniments solen integrar-se amb eines d'an\u00e0lisi de seguretat com ara SIEM (Security Information and Event Management).<\/p>\t\t\t\t\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t\t\t Sysmon es configura com un servei del sistema operatiu i afegeix un controlador al nucli. Un cop configurat, funciona com un servei en segon pla, recopila informaci\u00f3 sobre esdeveniments clau del sistema i els registra al log d'esdeveniments de Windows<\/strong>. Actua com un intermediari entre el sistema operatiu i el registre d'esdeveniments, i des del controlador del nucli monitoritza directament les interaccions del sistema operatiu a baix nivell, com ara trucades al nucli, creaci\u00f3 de processos i modificacions del registre.<\/p> Actua com un \u00abgran germ\u00e0\u00bb del sistema operatiu, proporcionant una visibilitat detallada del que passa a nivell intern. La seva for\u00e7a rau en la capacitat de personalitzaci\u00f3 i en la integraci\u00f3 amb eines de seguretat per protegir els sistemes contra amenaces avan\u00e7ades. Tot i que requereix configuraci\u00f3 i an\u00e0lisis especialitzades, \u00e9s una eina essencial en entorns cr\u00edtics de seguretat.<\/p> Entre els esdeveniments m\u00e9s destacats que podeu registrar estan:<\/p> Creaci\u00f3 de processos<\/strong>: Inclou detalls com lexecutable utilitzat, arguments del proc\u00e9s i lusuari que el va executar.<\/p> Connexions de xarxa<\/strong>: Rastreja connexions TCP\/UDP, mostrant adreces IP i ports.<\/p> Canvis en arxius<\/strong>: Monitoritza modificacions en fitxers o directoris espec\u00edfics.<\/p> C\u00e0rregues de DLLs<\/strong>: Registra quan es carreguen llibreries din\u00e0miques (DLLs) en processos.<\/p> Modificacions del registre<\/strong>: Detecta canvis en claus del registre espec\u00edfiques.<\/p> Esdeveniments relacionats amb imatges<\/strong>: Detecta c\u00e0rregues d'imatges sospitoses en mem\u00f2ria.<\/p> Els casos d'\u00fas m\u00e9s comuns solen ser la detecci\u00f3 de Malware i la supervisi\u00f3 de xarxes, al final, tot all\u00f2 que engloba l'an\u00e0lisi forense per ajudar a entendre la cadena d'esdeveniments i incidents del sistema per monitoritzar i comprendre possibles amenaces avan\u00e7ades persistent (APTs ).<\/p> Sysmon ha de ser instal\u00b7lat manualment des del paquet de Sysinternals. Es configura mitjan\u00e7ant un fitxer XML que defineix quins esdeveniments s'han de monitoritzar i com. Aquest fitxer pot incloure filtres avan\u00e7ats per incloure o excloure esdeveniments segons criteris com ara noms de processos, extensions de fitxer, etc.<\/p> Cal tenir en compte que aquesta eina genera una quantitat de dades for\u00e7a gran i haur\u00edem de configurar-la perqu\u00e8 ens proporcioni realment les dades que necessitem, a banda de comptar amb un coneixement avan\u00e7at per analitzar aquests esdeveniments correctament. Per exemple, podeu incloure filtres per rastrejar nom\u00e9s els processos d'usuaris espec\u00edfics o connexions cap a certes adreces IP.<\/p> Les dades registrades es poden analitzar directament o mitjan\u00e7ant eines SIEM (Security Information and Event Management), com ara Splunk, Elastic Stack, o Microsoft Sentinel, per correlacionar esdeveniments i detectar comportaments sospitosos.<\/p> \u201cTenir una visi\u00f3 global de tot el que passa al nostre sistema \u00e9s crucial per poder actuar davant atacs sofisticats\u201d<\/p><\/blockquote>\t\t\t\t\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t\t\tQu\u00e8 fa Sysmon?<\/h2>
Quins esdeveniments pot capturar?<\/h2>
![\"\"](\"https:\/\/www.infordisa.com\/soc\/wp-content\/uploads\/2024\/12\/Sysmon-1.jpg\")
\t\t\t\t\t\t\t\t<\/a>\n\t\t\t\t\t\t\t\t\t\t\t\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t\t\t\t<\/div>\n\t\t<\/div>\n\t\t\t\t\t<\/div>\n\t\t<\/section>\n\t\t\t\t\n\t\t\t\t<\/div>\n\t\t\t\n\t\t\t