☰

使用 Sysmon 进行网络监控并不能监控所有事件

tag-icon • tag-icon networking monitoring
使用 Sysmon 进行网络监控并不能监控所有事件

我使用 Sysmon 进行网络监控，但它不会监控我请求的所有目的地，而是只监控特定的目的地，其余的则不监控。我来解释一下 - 为了监控 google 和 github 的访问，我编写了以下配置：

<Sysmon schemaversion="4.21">
<HashAlgorithms>*</HashAlgorithms>
<CheckRevocation/>
<EventFiltering>
    <RuleGroup name="" groupRelation="or"><NetworkConnect onmatch="include">
        <DestinationHostname condition="contains">google.com</DestinationHostname>
        <DestinationHostname condition="contains">.github.com</DestinationHostname>
    </NetworkConnect></RuleGroup>
    <RuleGroup name="" groupRelation="or"><DnsQuery onmatch="include"></DnsQuery></RuleGroup>
    <RuleGroup name="" groupRelation="or"><ProcessCreate onmatch="include"></ProcessCreate></RuleGroup>
    <RuleGroup name="" groupRelation="or"><FileCreateTime onmatch="include"></FileCreateTime></RuleGroup>
    <RuleGroup name="" groupRelation="or"><ProcessTerminate onmatch="include"></ProcessTerminate></RuleGroup>
    <RuleGroup name="" groupRelation="or"><DriverLoad onmatch="include"></DriverLoad></RuleGroup>
    <RuleGroup name="" groupRelation="or"><ImageLoad onmatch="include"></ImageLoad></RuleGroup>
    <RuleGroup name="" groupRelation="or"><CreateRemoteThread onmatch="include"></CreateRemoteThread></RuleGroup>
    <RuleGroup name="" groupRelation="or"><RawAccessRead onmatch="include"></RawAccessRead></RuleGroup>
    <RuleGroup name="" groupRelation="or"><ProcessAccess onmatch="include"></ProcessAccess></RuleGroup>
    <RuleGroup name="" groupRelation="or"><FileCreate onmatch="include"></FileCreate></RuleGroup>
    <RuleGroup name="" groupRelation="or"><RegistryEvent onmatch="include"></RegistryEvent></RuleGroup>
    <RuleGroup name="" groupRelation="or"><FileCreateStreamHash onmatch="include"></FileCreateStreamHash></RuleGroup>
    <RuleGroup name="" groupRelation="or"><PipeEvent onmatch="include"></PipeEvent></RuleGroup>
    <RuleGroup name="" groupRelation="or"><WmiEvent onmatch="include"></WmiEvent></RuleGroup>
</EventFiltering>

并运行它

sysmon -i C:\temp\sysmon\config.xml -accepteula

接下来，我进入了 google.com 和 github.com，并检查了事件查看器的结果。Sysmon 唯一捕获的结果来自 github.com，但事件日志中没有记录来自 google.com 的任何活动（这种情况总是如此，它同意监控 github 但不会监控 google）

我遗漏了什么？为什么我无法监控任何网站？有没有什么办法可以解决这个问题？

非常感谢！！！

答案1

因此，显然 Google 有很多用于连接到 www.google.com 的主机名，因此主机名中可能不会包含“google”。解决方案 - 使用 Sysmon 的 DNSQuery（事件 ID 22）监控主机名。解决方案的问题 - 在 Windows 7 上不起作用。

相关内容