微软轻量级系统监控工具sysmon内核实现原理

最新推荐文章于 2025-05-23 12:57:33 发布
原创 最新推荐文章于 2025-05-23 12:57:33 发布 · 1.2k 阅读 · 2 ·
CC 4.0 BY-SA版权
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
文章标签：

#sysmon #内核

本文详细解析了Sysmon的内核级监控机制，包括驱动初始化、IRP_MJ_DEVICE_CONTROL例程、文件和注册表活动记录、进程操作过滤等关键环节。深入探讨了Sysmon如何利用minifilter驱动捕捉系统事件，以及其进程模块枚举、参数获取和Token信息提取的技术细节。

摘要生成于 C知道 ，由 DeepSeek-R1 满血版支持， 前往体验 >

上文讲解了sysmon的ring3部分实现原理，本文则开始讲解ring0部分。Sysmon的ring0是一个minifilter类型的驱动，内部实现了进程信息、文件访问信息以及注册表访问信息的记录，下面开始具体讲解它的实现流程。 

一、          驱动DriverEntry的初始化 

从DriverEntry(PDRIVER_OBJECTDriverObject, UNICODE_STRING *pRegistry)的pRegistry中截取末尾名称去获取并计算出设备名和DosDevices的名字。 

 

 

pDriverName= pRegistry->Buffer;
  Len = pRegistry->Length >> 1;
  pFirstName = &pDriverName[Len];
  if ( pFirstName == pDriverName )
  {
LABEL_8:
    if ( *pFirstName != ‘\\’ )
      goto LABEL_10;
  }
  else
  {
    while ( *pFirstName != ‘\\’ )
    {
      –pFirstName;
      if ( pFirstName == pDriverName )
        goto LABEL_8;
    }
  }
  ++pFirstName;

 

image.png然后从pRegistry注册表中去获取sysmon的策略规则

image.png

使用RtlQueryRegistryValues函数，填入5个RTL_QUERY_REGISTRY_TABLE结构体

 

 

RTL_QUERY_REGISTRY_TABLE QueryRegTable[5];

RtlInitUnicodeString(&g_ProcessAccessNamesRule,0);

  memset(QueryRegTable, 0, 560u);

  QueryRegTable[0].Flags = 1;

  QueryRegTable[0].Name =L”Parameters”;
  QueryRegTable[3].EntryContext =&OptionRulesv18;
  QueryRegTable[4].EntryContext =&hash_alogrithms;
  QueryRegTable[1].Flags = 304;
  QueryRegTable[1].Name =g_Name_ProcessAccessNames;
  QueryRegTable[1].EntryContext =&g_ProcessAccessNamesRule;
  QueryRegTable[1].DefaultType = 0×7000007;
  QueryRegTable[1].DefaultData =&unk_10015C34;
  QueryRegTable[1].DefaultLength = 4;
  QueryRegTable[2].Flags = 304;
  QueryRegTable[2].Name = L”ProcessAccessMasks”;
  QueryRegTable[2].EntryContext =&g_ProcessAccessMasksRule;
  QueryRegTable[2].DefaultType = 0×3000000;
  QueryRegTable[3].Flags = 304;
  QueryRegTable[3].Name =(PWSTR)&g_wOption;
  QueryRegTable[3].DefaultType = 0×4000000;
  QueryRegTable[4].Flags = 304;
  QueryRegTable[4].Name =(PWSTR)&g_wHashingalgorithm;
  QueryRegTable[4].DefaultType = 0×4000000;
  RtlQueryRegistryValues(0,g_SysmonRegisterPath.Buffer, QueryRegTable, 0, 0);
  if ( !g_ProcessAccessNamesRule.Buffer
    || g_ProcessAccessNamesRule.Length <= 2u
    || g_ProcessAccessNamesRule.MaximumLength<= 4u )
  {
   RtlFreeUnicodeString(&g_ProcessAccessNamesRule);
   RtlInitUnicodeString(&g_ProcessAccessNamesRule, 0);
  }

  g_OptionRules =(OptionRulesv18 >> 1) & 1; 

 

对应的注册表键分别是L”Parameters”、L”ProcessAccessNames”、L”ProcessAccessMasks” 、L” Option”、L” Hashingalgorithm”

image.png然后再次获取L”Parameters”项下面的对应的L”Rules”的KeyValues信息，这里是驱动设置的规则。

image.png下面展示出部分规则的数组

image.png

上面的过程结束后就开始判断操作系统是否支持flt

image.png

如果支持只实现IRP_MJ_CREATE、IRP_MJ_CLOSE 、IRP_MJ_DEVICE_CONTROL三个例程，后续会注册miniFlt过滤，如果不支持Flt就使用老的模式Sfilter的模式

 

 

DriverObject->MajorFunction[IRP_MJ_DEVICE_CONTROL]= (PDRIVER_DISPATCH)SysmonDispatchIrp;
  DriverObject->MajorFunction[IRP_MJ_CLOSE]= (PDRIVER_DISPATCH)SysmonDispatchIrp;
  DriverObject->MajorFunction[IRP_MJ_CREATE]= (PDRIVER_DISPATCH)SysmonDispatchIrp;
  if ( IsOpenPipeConnect &&!IsSupportFlt )

  {

   DriverObject->MajorFunction[IRP_MJ_CREATE] =(PDRIVER_DISPATCH)SysmonDispatchIrp;
    DriverObject->MajorFunction[1] =(PDRIVER_DISPATCH)SysmonDispatchIrp;
   DriverObject->MajorFunction[IRP_MJ_CLOSE] =(PDRIVER_DISPATCH)SysmonDispatchIrp;
    DriverObject->MajorFunction[IRP_MJ_READ]= (PDRIVER_DISPATCH)SysmonDispatchIrp;
    DriverObject->MajorFunction[IRP_MJ_WRITE]= (PDRIVER_DISPATCH)SysmonDispatchIrp;
   DriverObject->MajorFunction[IRP_MJ_QUERY_INFORMATION] =(PDRIVER_DISPATCH)SysmonDispatchIrp;
   DriverObject->MajorFunction[IRP_MJ_SET_INFORMATION] =(PDRIVER_DISPATCH)SysmonDispatchIrp;
   DriverObject->MajorFunction[IRP_MJ_QUERY_EA] =(PDRIVER_DISPATCH)SysmonDispatchIrp;
   DriverObject->MajorFunction[IRP_MJ_SET_EA] =(PDRIVER_DISPATCH)SysmonDispatchIrp;
   DriverObject->MajorFunction[IRP_MJ_FLUSH_BUFFERS] =(PDRIVER_DISPATCH)SysmonDispatchIrp;
   DriverObject->MajorFunction[IRP_MJ_QUERY_VOLUME_INFORMATION] =(PDRIVER_DISPATCH)SysmonDispatchIrp;
   DriverObject->MajorFunction[IRP_MJ_SET_VOLUME_INFORMATION] =(PDRIVER_DISPATCH)SysmonDispatchIrp;
    DriverObject->MajorFunction[IRP_MJ_DIRECTORY_CONTROL]= (PDRIVER_DISPATCH)SysmonDispatchIrp;
   DriverObject->MajorFunction[IRP_MJ_FILE_SYSTEM_CONTROL] =(PDRIVER_DISPATCH)SysmonDispatchIrp;
   DriverObject->MajorFunction[IRP_MJ_DEVICE_CONTROL] =(PDRIVER_DISPATCH)SysmonDispatchIrp;
    DriverObject->MajorFunction[IRP_MJ_INTERNAL_DEVICE_CONTROL]= (PDRIVER_DISPATCH)SysmonDispatchIrp;
   DriverObject->MajorFunction[IRP_MJ_SHUTDOWN] =(PDRIVER_DISPATCH)SysmonDispatchIrp;
   DriverObject->MajorFunction[IRP_MJ_LOCK_CONTROL] = (PDRIVER_DISPATCH)SysmonDispatchIrp;
   DriverObject->MajorFunction[IRP_MJ_CLEANUP] =(PDRIVER_DISPATCH)SysmonDispatchIrp;
   DriverObject->MajorFunction[IRP_MJ_CREATE_MAILSLOT] =(PDRIVER_DISPATCH)SysmonDispatchIrp;
   DriverObject->MajorFunction[IRP_MJ_QUERY_SECURITY] =(PDRIVER_DISPATCH)SysmonDispatchIrp;
   DriverObject->MajorFunction[IRP_MJ_SET_SECURITY] =(PDRIVER_DISPATCH)SysmonDispatchIrp;
   DriverObject->MajorFunction[IRP_MJ_POWER] =(PDRIVER_DISPATCH)SysmonDispatchIrp;
    DriverObject->MajorFunction[IRP_MJ_SYSTEM_CONTROL]= (PDRIVER_DISPATCH)SysmonDispatchIrp;

   DriverObject->MajorFunction[IRP_MJ_DEVICE_CHANGE] =(PDRIVER_DISPATCH)SysmonDispatchIrp;
   DriverObject->MajorFunction[IRP_MJ_QUERY_QUOTA] =(PDRIVER_DISPATCH)SysmonDispatchIrp;
    DriverObject->MajorFunction[IRP_MJ_SET_QUOTA]= (PDRIVER_DISPATCH)SysmonDispatchIrp;

  } 

 

然后就是常规过程，IoCreateDevice、IoCreateSymbolicLink。

image.png然后根据操作系统是否支持FltRegisterFilter(Driver, &g_Registration, &g_pFilter);

image.png具体创建了哪些minifilter，接着看结构体

image.png

 

 

OperationRegistrationdd IRP_MJ_CREATE  ; DATA XREF:.data:10015014↓o

.rdata:10013454                 dd 0

.rdata:10013458                 dd offset PreOperation

.rdata:1001345C                 dd offset PostOperation

.rdata:10013460                 dd 0

.rdata:10013464                 dd IRP_MJ_CLEANUP

.rdata:10013468                 dd 0

.rdata:1001346C                 dd offset PreOperation

.rdata:10013470                 dd offset PostOperation

.rdata:10013474                 dd 0

.rdata:10013478                 dd IRP_MJ_SET_INFORMATION

.rdata:1001347C                 dd 0

.rdata:10013480                 dd offset PreOperation

.rdata:10013484                 dd offset PostOperation

.rdata:10013488                 dd 0

.rdata:1001348C                 dd IRP_MJ_CLOSE

.rdata:10013490                 dd 0

.rdata:10013494                 dd offset PreOperation

.rdata:10013498                 dd offset PostOperation

.rdata:1001349C                 dd 0

.rdata:100134A0                 dd IRP_MJ_CREATE_NAMED_PIPE

.rdata:100134A4                 dd 0

.rdata:100134A8                 dd offset PreOperation

.rdata:100134AC                 dd offset PostOperation

.rdata:100134B0                 dd 0

.rdata:100134B4                 dd IRP_MJ_OPERATION_END

.rdata:100134B8                 dd 0

.rdata:100134BC                 dd 0

.rdata:100134C0                 dd 0

.rdata:100134C4                 dd 0

 

从上可以看到minifilter过滤了IRP_MJ_CREATE、IRP_MJ_CLEANUP、IRP_MJ_SET_INFORMATION、IRP_MJ_CLOSE、IRP_MJ_CREATE_NAMED_PIPE 

文件系统相关的注册完毕，然后就是设置一些进程、线程相关的回调函数例程

 

 

PsSetLoadImageNotifyRoutine(SysmonLoadImageNotifyRoutine);
PsSetCreateThreadNotifyRoutine(PsCreateThreadNotifyRoutine);
PsSetCreateProcessNotifyRoutine(PsCreateProcessNotifyRoutine, 0);

 

image.png

image.png为了记录注册表sysmon还注册表注册表CmRegisterCallback(RegisterCallback, 0, &Cookie);回调，

image.png

为了记录进程open对象的事件注册了ob事件 

 

 

g_bIsRegisterCallback= 1;

  g_OperationRegistration.ObjectType =(POBJECT_TYPE *)PsProcessType;

  g_OperationRegistration.Operations = 1;

  g_OperationRegistration.PreOperation =PreProcessOperation;

  g_OperationRegistration.PostOperation =PostProcessOperation;

  g_CallbackRegistration.OperationRegistration= &g_OperationRegistration;

  *(_DWORD*)&g_CallbackRegistration.Version = 0×10100;

  g_CallbackRegistration.RegistrationContext =0;

  RtlInitUnicodeString(&g_CallbackRegistration.Altitude,L”1000″);

  Status =g_ObRegisterCallbacks(&g_CallbackRegistration, &RegistrationHandle);

 

image.png

为了获取管道的事件，它挂接了设备L\\Device\\NamedPipe，创建了L\\Device\\SysmonPipeFilter的过滤设备

image.png至此sysmon的DriverEntry的初始化动作基本结束了。

二、          IRP_MJ_DEVICE_CONTROL例程 

Case 0×83400000:

打开驱动开启标志，并且获取且保存当前UI进程的句柄

image.pngimage.png

Case  0×83400004：

Ring3请求事件信息，并返回到ring3的缓冲区

image.png

Case 0×83400008：

加载策略规则

image.png

Case 0x8340000C：

获取传入进程的相关信息（包括TokenUser、pTokenStatics、TokenGroup、TokenSeesion）

image.pngimage.png还会获取进程pImagePathName、pCommandLine、CurrentDirectory

image.png获取进程的CreateTime

image.png该事件类型为4或者1

image.png

三、文件信息的记录

Minifilter的PreOperation(PFLT_CALLBACK_DATA pData, PFLT_RELATED_OBJECTSFltObjects, PVOID *CompletionContext)例程为主要的判断逻辑例程，先判断当前FileObject的路径是否为管道路径，管道事件直接记录上报事件

image.png特别判断下IRP_MJ_SET_INFORMATION、IRP_MJ_CLEANUP,并且分别上报_，注意在判断IRP_MJ_SET_INFORMATION的时候只记录了RequestorMode是1即USER_MODE，并且是设置FileBasicInformation的请求。

image.pngimage.pngPreOperation处理完毕，则PostOperation(PFLT_CALLBACK_DATA pData, PFLT_RELATED_OBJECTSpFltFileObj, PVOID CompletionContext, int Flags)对前者处理的上下文CompletionContext进行记录日志或者释放的处理，以IRP_MJ_SET_INFORMATION为例，PostOPerate则对PreOperate的CompletionContext的数据进行上报。

image.png

四、注册表信息的记录

Sysmon初始化的时候注册了一个注册表过滤，CmRegisterCallback(RegisterCallback, 0, &Cookie);回调函数是NTSTATUS__stdcall RegisterCallback(PVOID CallbackContext, PVOID Argument1, PVOIDArgument2)，参数Argument1是过滤的注册表操作类型，sysmon过滤了0（RegNtDeleteKey   /  RegNtPreDeleteKey） 、4( RegNtRenameKey\RegNtPreRenameKey)、11（RegNtPostCreateKey）、15（RegNtPostDeleteKey）、16（RegNtPostSetValueKey）、17（RegNtPostDeleteValueKey）、19（RegNtPostRenameKey）27（RegNtPostCreateKeyEx）的注册表操作

image.pngimage.pngimage.png

五、进程操作过滤

Sysmon注册了进程操作过滤，g_ObRegisterCallbacks(&g_CallbackRegistration, &RegistrationHandle);，

image.png他只记录操作类型为OB_OPERATION_HANDLE_CREATE，并且只记录A进程操作B进程，A和B不是同一个进程，注意RtlWalkFrameChain这个函数是获取当前操作线程的线程栈，KeQuerySystemTime(&pOpenInfo.CreateTime);是获取当前系统时间，并且会把这些信息上报。

六、其他重点技术细节

1.     进程模块的枚举

image.png

ZwQueryInformationProcess(ProcessHandle, ProcessBasicInformation,&ProcessInformation, 0x18u, 0)获取ProcessInformation的信息，从PebBaseAddress= ProcessInformation.PebBaseAddress;取得进程PEB的地址，在PEB结构中得到LDR的地址，LDR是进程加载模块的结构体，

 

 

struct _PEB

{

UCHAR InheritedAddressSpace;

UCHAR ReadImageFileExecOptions;

UCHAR BeingDebugged;

UCHAR BitField;

PVOID Mutant;

PVOID ImageBaseAddress;

PPEB_LDR_DATA Ldr;

PRTL_USER_PROCESS_PARAMETERS ProcessParameters;

PVOID SubSystemData;

PVOID ProcessHeap;

PRTL_CRITICAL_SECTION FastPebLock;

PVOID AtlThunkSListPtr;

PVOID IFEOKey;

ULONG CrossProcessFlags;

unsigned __int32 ProcessInJob : 1;

unsigned __int32 ProcessInitializing : 1;

unsigned __int32 ReservedBits0 : 30;

union

{

PVOID KernelCallbackTable;

PVOID UserSharedInfoPtr;

};

ULONG SystemReserved[1];

。。。。。。

} 

 

PPEB_LDR_DATA Ldr;这个就是加载模块的结构，有三种加载表内存加载表，加载顺序表，初始化加载表从中可以枚举出模块信息。

 

 

struct _PEB_LDR_DATA

{

ULONG Length;

UCHAR Initialized;

PVOID SsHandle;

LIST_ENTRY InLoadOrderModuleList;

LIST_ENTRY InMemoryOrderModuleList;

LIST_ENTRY InInitializationOrderModuleList;

};

 

image.png

2.     进程参数的获取

大致可以看到如下，首先要KeStackAttachProcess进程的空间，然后获取PEB地址，从PEB中的到ProcessParameters的结构

image.png

ProcessParameters结构如下：

 

 

struct _RTL_USER_PROCESS_PARAMETERS

{

ULONG MaximumLength;

ULONG Length;

ULONG Flags;

ULONG DebugFlags;

PVOID ConsoleHandle;

ULONG ConsoleFlags;

PVOID StandardInput;

PVOID StandardOutput;

PVOID StandardError;

CURDIR CurrentDirectory;

UNICODE_STRING DllPath;

UNICODE_STRINGImagePathName;

UNICODE_STRING CommandLine;

PVOID Environment;

ULONG StartingX;

ULONG StartingY;

ULONG CountX;

ULONG CountY;

ULONG CountCharsX;

ULONG CountCharsY;

ULONG FillAttribute;

ULONG WindowFlags;

ULONG ShowWindowFlags;

UNICODE_STRING WindowTitle;

UNICODE_STRING DesktopInfo;

UNICODE_STRING ShellInfo;

UNICODE_STRING RuntimeData;

RTL_DRIVE_LETTER_CURDIRCurrentDirectores[32];

ULONG EnvironmentSize;

}; 

 

可以看到该结构中进程参数相关的各种信息。 

3.     进程Token相关信息的获取

image.png

image.pngimage.pngimage.png

都是通过ZwQueryInformationToken函数去获取，只是是使用不同的ClassInformation类去获取，定义如下

 

 

typedef enum _TOKEN_INFORMATION_CLASS {

  TokenUser                             ,

  TokenGroups                           ,

  TokenPrivileges                       ,

  TokenOwner                            ,

  TokenPrimaryGroup                     ,

  TokenDefaultDacl                      ,

  TokenSource                           ,

  TokenType                             ,

  TokenImpersonationLevel               ,

  TokenStatistics                       ,

  TokenRestrictedSids                   ,

  TokenSessionId                        ,

  TokenGroupsAndPrivileges              ,

  TokenSessionReference                 ,

  TokenSandBoxInert                     ,

  TokenAuditPolicy                      ,

  TokenOrigin                           ,

  TokenElevationType                    ,

  TokenLinkedToken                      ,

  TokenElevation                        ,

  TokenHasRestrictions                  ,

  TokenAccessInformation                ,

  TokenVirtualizationAllowed            ,

  TokenVirtualizationEnabled            ,

  TokenIntegrityLevel                   ,

  TokenUIAccess                         ,

  TokenMandatoryPolicy                  ,

  TokenLogonSid                         ,

  TokenIsAppContainer                   ,

  TokenCapabilities                     ,

  TokenAppContainerSid                  ,

  TokenAppContainerNumber               ,

  TokenUserClaimAttributes              ,

  TokenDeviceClaimAttributes            ,

 TokenRestrictedUserClaimAttributes   ,

 TokenRestrictedDeviceClaimAttributes ,

  TokenDeviceGroups                     ,

  TokenRestrictedDeviceGroups           ,

  TokenSecurityAttributes               ,

  TokenIsRestricted                     ,

  TokenProcessTrustLevel                ,

  TokenPrivateNameSpace                 ,

  TokenSingletonAttributes              ,

  TokenBnoIsolation                     ,

  TokenChildProcessFlags                ,

  MaxTokenInfoClass

} TOKEN_INFORMATION_CLASS, *PTOKEN_INFORMATION_CLASS;

 

需要获取那个就可以选择那一个。

 

本文大致讲解完毕，内部还有很多很有意思的技术细节由于篇幅原因，读者可以自己深入挖掘，在做一个产品的时候，我们可以分析他人的产品，不仅可以了解他人的产品的长处和不足，同时也可以补充自己产品的不足的之处，一个好的产品就是在不断的琢磨研究与推翻，更重要的是细节的体现才能做好产品。

Sysmon安装使用总结
weixin_51432117的博客
01-09 1384
文章目录前言一、Sysmon下载安装二、配合nxlog使用1.nxlog官方文档使用示例2.事件查看器sysmon 前言 一、Sysmon下载安装 资源分享： 链接：https://pan.baidu.com/s/1Wwdq2CtOarBcIK_TlYRAgA 提取码：04fu 复制这段内容后打开百度网盘手机App，操作更方便哦 下载安装参考的链接如下： https://blog.youkuaiyun.com/qq237696047/article/details/108886184 在sysmon配置文
Windows NT Stack Trace
it技术学习
07-28 1330
在系统软件开发中有时会有得到函数调用者的信息的需要，为此WindowsNT专门提供了调用 RtlGetCallerAddress为内核开发者使用，但它并没有公开所以也就不能为驱动开发者使用。 然而在兼容过程中又无法避免使用它，所以我们只好探究其原理。 RtlGetCallerAddress可以由两种方法实现，其原型如下： VOID RtlGetCallersAddress( OUT PVOID *
常见调试器
LeeRipper的专栏
09-20 1382
“工欲善其事,必先利其器”。在进行软件调试或者逆向工程时，我们需要很多辅助工具，其中调试器是最重要的工具之一。          根据调试对象调试器分类为用户态和内核态。用户态调试器只能调试环3（Ring3）权限的应用程序，大多数应用程序均属于此类程序。内核态调试器能调
minifilter实现文件隐藏完整资源包：保护隐私的安全利器
gitblog_06717的博客
05-23 1124
minifilter实现文件隐藏完整资源包：保护隐私的安全利器 去发现同类优质开源项目:https://gitcode.com/ 项目介绍 在数字化时代，信息安全和个人隐私保护变得尤为重要。minifilter实现文件隐藏完整资源包提供了一种利用Windows驱动驱动的minifilter框架，从系统底层实现对文件进行隐藏的技术方案。该资源包不仅涵盖了驱动层的核心代码，还包括了应用层的交互代码和配...
【正点原子FPGA连载】第十章PS SYSMON测量温度电压实验 摘自【正点原子】DFZU2EG_4EV MPSoC之嵌入式Vitis开发指南
weixin_55796564的博客
02-15 2587
PS SYSMON模块位于PS端低功耗域内，由VCC_PSAUX和VCC_PSADC供电。PS SYSMON能同时测量两个温度和几个固定的电压节点。AXI互联主机通过PS SYSMON和AMS寄存器组控制PS端SYSMON模块。MPSOC中PS SYSMON和PL SYSMON模块都属于SYSMONE4结构，结构上存在很多相似处。也有许多不同点，例如采样率，参考电压，编程接口，电源域，温度传感器等。PS SYSMON模块框图如下图所示：图10.1.1 PS SYSMON模块框图。
推荐文章：深入了解与利用PSSysmonTools——PowerShell下的Sysmon神器
gitblog_00006的博客
08-29 713
推荐文章：深入了解与利用PSSysmonTools——PowerShell下的Sysmon神器 项目介绍 在安全监控的前沿阵地，每一个细微的系统动作都可能是潜在威胁的线索。PSSysmonTools正是这样一款专为PowerShell设计的强大工具集，它围绕Windows平台上的Sysmon服务展开，旨在简化和优化Sysmon配置管理过程。通过一系列精巧的函数，PSSysmonTools无需直接...
Sysmon安装配置、使用分析（附带推荐配置文件）
博客地址 www.sec0nd.top
05-13 3456
系统监视器 (Sysmon) 是一项 Windows系统服务，也是一个设备驱动程序，一旦安装在系统上，就会在系统重新启动后一直驻留，以监视系统活动并将其记录到 Windows 事件日志中。它提供有关进程创建、网络连接和文件创建时间更改的详细信息。通过使用 Windows 事件收集或 SIEM代理收集生成的事件，然后对事件进行分析，你可识别恶意或异常活动，并了解入侵者和恶意软件如何在网络上运行。该服务作为受保护的进程运行，从而禁止广泛的用户模式交互。
Sysmon 微软官方免费主机监控工具
04-16
Sysmon是微软官方提供的一款免费的主机监控工具，主要用于系统级别的监控和安全分析。这款工具在IT领域中被广泛应用于安全运维和恶意行为检测，它能够帮助管理员深入了解系统的活动，从而提升系统的安全性。 首先，...
Go语言开发的系统监控工具sysmon介绍
5. JSON格式输出：JSON（JavaScript Object Notation）是一种轻量级的数据交换格式，易于人阅读和编写，同时也易于机器解析和生成。Sysmon工具输出JSON格式的对象列表，方便开发者进行进一步的处理和分析。 6. 端点...
SysmonTools：深入了解系统监控实用工具Sysmon
Sysmon（System Monitor）是一个高级监控工具，由微软的Sysinternals套件提供，用于记录系统活动到Windows事件日志中。它可以帮助系统管理员和安全专家对系统中的可疑活动进行深入分析和威胁狩猎（threat-hunting）...
系统监控开发套件（sysmon、promon、edr、终端安全、主机安全、零信任、上网行为管理）.zip
03-05
管理系统是一种通过计算机技术实现的用于组织、监控和控制各种活动的软件系统。这些系统通常被设计用来提高效率、减少错误、加强安全性，同时提供数据和信息支持。以下是一些常见类型的管理系统： 学校管理系统： ...
内核模块通信监控：Sysmon日志中的Rootkit隐藏进程检测.pdf
最新发布
06-23
文档支持目录章节跳转同时还支持阅读器左侧大纲显示...掌握 Stegsolve、CyberChef、Audacity 等工具，合法破解摩斯密码、二维码、LSB 隐写，在虚拟战场中提升网络安全意识与技术能力。记住：所有技术仅用于学习与竞赛！
Sysmon_OSSEC:Sysmon事件的OSSEC解码器和规则集
05-20
Sysmon_OSSEC 包括： Sysmon事件的OSSEC解码器（事件ID 1：流程创建） 哈希规则集上的警报：用于检测（按哈希）psexec使用情况的示例规则 映像名称规则集上的警报：用于检测（按映像名称）异常用户行为的示例规则 进程异常规则集：用于检测Windows进程异常的规则集
微软轻量级监控工具sysmon原理与实现
浪子_三少(邮箱:basketwill@qq.com)
12-26 7312
Sysmon是微软的一款轻量级的系统监控工具，被常常用来进行入侵检测分析，它通过系统服务和驱动程序实现记录进程创建、文件访问以及网络信息的记录，并把相关的信息写入并展示在windows的日志事件里。经常有安全人员使用这款工具去记录并分析系统进程的活动来识别恶意或者异常活动，下面开始讲解该软件的原理与实现。          下面开始上篇的讲解，ring3实现对网络数据记录以及对驱动返回的数据进行...
内核遍历r3进程模块,获取信息(32,64,WoW64)
多媒体编程、网络编程、系统编程、网络安全编程、驱动编程
10-24 5443
没什么技术含量,只是突然用到了,然后写出来,又突然想到看雪了,然后又发上来, 一想到长期潜水,看帖不回就羞愧的不要不要的; //通过进程PID来获取目标模块路径; NTSTATUS GetModulesPathByProcessID (IN HANDLE ProcessId, IN WCHAR* ModuleName, OUT WCHAR* ModulesPath) {     t
windows内核情景分析 --- 服务管理
maomao171314的专栏
04-04 1026
随时可以看到任务管理器中有一个services.exe进程，这个就是系统的服务控制管理进程，简称SCM 这个进程专门用来管理服务（启动、停止、删除、配置等操作） 系统中所有注册的服务都登记在\HKEY_LOCAL_MACHINE\System\CurrentControlSet\Services键下，这个键专门叫做‘服务键’，服务键下面的每个子键代表一个服务，记录了各个服务的信息。
在内核中之获取HKEY_CURRENT_USER对应路径
125096
07-18 7866
在内核中操作注册表,HKEY_LOCAL_MACHINE的路径可以用\Registry\Machine来表示. HKEY_USERS可以用 \Registry\User表示. 而HKEY_CLASSES_ROOT和HKEY_CURRENT_CONFIG,HKEY_CURRENT_USER,在内核没有对应的路径来表示. 实际上HKEY_CLASSES_ROOT是链接到HKEY_L
驱动开发之访问注册表
Lydia的博客
07-03 2393
访问注册表 Windows NT和Windows 98把配置信息和其它重要信息都记录到注册表(registry)中。WDM驱动程序可以使用表3-9列出的函数访问注册表。如果你在用户模式编程中曾涉及过注册表访问，你可能会猜出如何在驱动程序中使用这些函数。然而这些内核模式中的支持函数确有些不同，我想有必要描述一下它们的用法。 表3-9. 注册表访问函数 服务函数 描述  IoOpenDev
微软轻量级系统监控工具sysmon原理与实现完全分析（上篇）
weixin_33708432的博客
08-22 1241
作者：浪子_三少 Sysmon是微软的一款轻量级的系统监控工具，最开始是由Sysinternals开发的，后来Sysinternals被微软收购，现在属于Sysinternals系列工具。它通过系统服务和驱动程序实现记录进程创建、文件访问以及网络信息的记录，并把相关的信息写入并展示在windows的日志事件里。经常有安全人员使用这款工具去记录并分析系统进...
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值