都内で働くSEの技術的なひとりごと

都内でサラリーマンやってます。マイクロソフト系(たまに、OSS系などマイクロソフト以外の技術も...)の技術的なことについて書いています。日々の仕事の中で、気になったことを技術要素関係なく気まぐれに選んでいるので記事内容は開発言語、インフラ等ばらばらです。なお、当ブログで発信、発言は私個人のものであり、所属する組織、企業、団体等とは何のかかわりもございません。ブログの内容もきちんと検証して使用してください。よろしくお願いします♪

Sysmon v4.0 をお試ししてみる

 先月子供のために電子ピアノ↓を購入。

 
 PC での作業が意外と最適www ( ピアノに失礼... ) あ、もちろん子供はちゃんと使ってますよ。
f:id:koogucc11:20160605075208j:plain

 今回は、SysinternalsSysmon を試してみたいと思います。

System Monitor (Sysmon) is a Windows system service and device driver that, once installed on a system, remains resident across system reboots to monitor and log system activity to the Windows event log. It provides detailed information about process creations, network connections, and changes to file creation time. By collecting the events it generates using Windows Event Collection or SIEM agents and subsequently analyzing them, you can identify malicious or anomalous activity and understand how intruders and malware operate on your network.
Note that Sysmon does not provide analysis of the events it generates, nor does it attempt to protect or hide itself from attackers.

 Sysmon は、Windows サービスとしてインストールされます。プロセスの作成、ネットワーク接続および変更に関する詳細な情報をイベントログに書き込みます。生成されたイベントを解析することで、悪意や異常な動作などマルウェアがネットワーク上でどのように動作するかをチェックすることができるようです。早速、サンプル通りに試してみましょう。

 下記のコマンドをコマンドプロンプトで実行しましょう。( 32 ビットOS の場合は、sysmon )

sysmon64 -accepteula -i -h sha256,md5 -n iexplore.exe

f:id:koogucc11:20160605180828p:plain

 インストールすると、サービスとして登録されます。
f:id:koogucc11:20160605180853p:plain

 IE を起動します。
f:id:koogucc11:20160605182633p:plain

 プロセスが生成されたのが判断できます。
f:id:koogucc11:20160605182737p:plain
 
 https であるサイトに IE のタブからアクセスしたのが判断できます。
f:id:koogucc11:20160605182747p:plain

 プロセスが終了されたのが判断できます。
f:id:koogucc11:20160605183506p:plain

 アンインストールするには、コマンドプロンプトで下記のコマンドを実行します。

sysmon –u

f:id:koogucc11:20160605183218p:plain

 sysmon を使うことでイベントログと連携し、簡単なプロセス監視の仕組みを構築することが可能ですね。

Lenovo 900S もいいなぁ。999g!! 軽い!
shopap.lenovo.com

 このシャンパンゴールドの色合い大好き。
f:id:koogucc11:20160605184616p:plain

 ヒンジの感じも最高....
f:id:koogucc11:20160605184559p:plain
 
 インターフェースは、USB Type-C もあるのね。
f:id:koogucc11:20160605185753p:plain

 スペックは、Core m7-6Y75、8GB、512GB か。メモリとSSD が ×2 になったらいいのに。うーん、メインマシンとしては少し非力かも。けど 1kg 切ってるし、持ち歩くには最高だなぁ。やっぱり、Lenovo にしようかな。