Sysmon-DFIR 项目使用教程

Sysmon-DFIR 项目使用教程

sysmon-dfir 项目地址: https://gitcode.com/gh_mirrors/sy/sysmon-dfir

1. 项目目录结构及介绍

Sysmon-DFIR 项目的目录结构如下：

sysmon-dfir/
├── config/
│   ├── config.xml
│   └── ...
├── docs/
│   ├── README.md
│   └── ...
├── LICENSE
├── README.md
└── ...

目录介绍

• config/: 该目录包含了 Sysmon 的配置文件，如 config.xml，用于定义 Sysmon 的监控规则和事件过滤器。
• docs/: 该目录包含了项目的文档，如 README.md，提供了项目的详细说明和使用指南。
• LICENSE: 项目的开源许可证文件，通常为 GPL-3.0 许可证。
• README.md: 项目的主 README 文件，提供了项目的概述、安装和使用说明。

2. 项目启动文件介绍

Sysmon-DFIR 项目本身并不包含一个传统的“启动文件”，因为它主要是一个配置和文档集合，用于帮助用户部署和管理 Sysmon。然而，如果你需要启动 Sysmon 服务，你可以使用以下步骤：

1. 安装 Sysmon: 首先，你需要从 Sysinternals 下载并安装 Sysmon。

2. 应用配置文件: 使用项目中的配置文件（如 config/config.xml）来配置 Sysmon。你可以通过命令行运行以下命令来应用配置：

   sysmon -accepteula -i config/config.xml
   

3. 启动 Sysmon 服务: Sysmon 安装后会自动作为服务运行。你可以通过 Windows 服务管理器或命令行来启动和停止 Sysmon 服务。

3. 项目的配置文件介绍

Sysmon-DFIR 项目中的配置文件主要位于 config/ 目录下，其中最重要的文件是 config.xml。这个文件定义了 Sysmon 的监控规则和事件过滤器。

config.xml 文件结构

<Sysmon schemaversion="4.20">
    <EventFiltering>
        <!-- 事件过滤规则 -->
        <ProcessCreate onmatch="include">
            <!-- 进程创建事件的过滤规则 -->
        </ProcessCreate>
        <FileCreateTime onmatch="exclude">
            <!-- 文件创建时间的过滤规则 -->
        </FileCreateTime>
        <!-- 其他事件类型的过滤规则 -->
    </EventFiltering>
</Sysmon>

配置文件说明

• <Sysmon>: 根元素，定义了 Sysmon 的配置版本。
• <EventFiltering>: 事件过滤配置部分，包含了各种事件类型的过滤规则。
• <ProcessCreate>: 进程创建事件的过滤规则，onmatch="include" 表示匹配的事件将被记录。
• <FileCreateTime>: 文件创建时间的过滤规则，onmatch="exclude" 表示匹配的事件将被排除。

通过修改 config.xml 文件，你可以自定义 Sysmon 的监控行为，以满足特定的安全需求。

---

以上是 Sysmon-DFIR 项目的使用教程，希望对你有所帮助。

sysmon-dfir 项目地址: https://gitcode.com/gh_mirrors/sy/sysmon-dfir