ปัญหาหนึ่งของ Windows ก็คือ เป็นเรื่องยากเสมอมาที่จะรู้ว่ามันกำลังทำอะไรอยู่ในเบื้องหลังในช่วงเวลาใดก็ตาม เมื่อคุณเปิดแอปพลิเคชันขึ้นมา มันทำอะไรที่เรามองไม่เห็น? อาจเป็นกระบวนการวางไข่ การเชื่อมต่ออินเทอร์เน็ต หรือการทำสิ่งที่ไม่ควรเป็น และไม่ใช่เรื่องง่ายที่จะบอก
ฉันได้เปิด Event Viewer หลายครั้งเพื่อดูว่ากระบวนการใดกำลังเกิดขึ้น แต่ฉันพบกับศัพท์เฉพาะที่เป็นความลับซึ่งบอกสิ่งที่ฉันรู้อยู่แล้วหรือบางอย่างที่ไม่สำคัญ Windows จะแจ้งข้อมูลพื้นฐานให้คุณทราบ เช่น การที่ผู้ใช้เข้าสู่ระบบหรือกระบวนการทำงานอยู่ เยี่ยมมาก แต่ไม่ได้บอกว่ากระบวนการกำลังทำอะไรอยู่เมื่อเริ่มต้นแล้ว
Sysmon คือคำตอบสำหรับคำถามที่ Windows ไม่ตอบ: เกิดอะไรขึ้นกับเครื่องของฉัน และมีอะไรที่ฉันควรกังวลหรือไม่ เมื่อก่อนจำเป็นต้องมีการติดตั้งด้วยตนเอง แต่ในที่สุดก็ถูกรวมเป็นส่วนหนึ่งของ Windows 11 ดังนั้นคุณจึงไม่จำเป็นต้องค้นหาอีกต่อไป
จริงๆ แล้วมีอะไรทำงานอยู่บนพีซีของคุณ?
ประเภทของเหตุการณ์ที่ Sysmon บันทึกจริง
Sysmon จะอยู่อย่างเงียบๆ ในเบื้องหลังและเก็บบันทึกรายละเอียดของทุกสิ่งที่เกิดขึ้นบนพีซีของคุณ โดยส่วนใหญ่ ไม่มีอะไรน่าสนใจเกิดขึ้น แต่เมื่อมีสิ่งผิดปกติเกิดขึ้น คุณสามารถรับบันทึกโดยละเอียดเกี่ยวกับสิ่งที่นำไปสู่เหตุการณ์นั้นได้ หากแอปพลิเคชันเริ่มทำการเชื่อมต่อที่น่าสงสัย โปรแกรมทำสิ่งที่ไม่ควรทำ หรือมีบางอย่างติดตั้งเองโดยที่คุณไม่รู้ Sysmon จะมีบันทึกการประทับเวลาไว้
บางสิ่งที่จับได้รวมถึงการสร้างกระบวนการด้วยบริบทคำสั่งแบบเต็มที่ใช้ในการรัน (ดังนั้นแทนที่จะเห็นว่า PowerShell ทำงานอยู่ คุณจะเห็นสคริปต์ที่เรียกใช้จริง) การเชื่อมต่อเครือข่ายที่มาจากโปรแกรมเฉพาะ ไฟล์ที่สร้างหรือแก้ไขในตำแหน่งที่ละเอียดอ่อน และความพยายามในการเข้าถึงอีกกระบวนการหนึ่ง สุดท้ายนี้ เรามีวิธีการในตัวในการดูอย่างแม่นยำว่าเกิดอะไรขึ้นใต้พื้นผิว
เมื่อ Sysmon กำลังทำงาน ระบบจะเริ่มบันทึกเหตุการณ์ในระบบของคุณ ไม่มีอินเทอร์เฟซผู้ใช้เฉพาะสำหรับ Sysmon แต่บันทึกจะถูกจัดเก็บไว้ใน Event Viewer และสามารถดูได้ที่นั่น สามารถดูบันทึกที่ Sysmon บันทึกไว้เป็นพิเศษได้ภายใต้ Microsoft-> Windows-> Sysmon-> บันทึกการปฏิบัติงาน คุณยังสามารถสืบค้นได้จากเทอร์มินัลโดยใช้คำสั่งเช่นนี้:
Get-WinEvent -LogName "Microsoft-Windows-Sysmon/Operational"
หากคุณใช้ Sysmon เวอร์ชันสแตนด์อโลนจากเว็บไซต์ Sysinternals ก่อนการอัปเดตนี้ ตรวจสอบให้แน่ใจว่าคุณถอนการติดตั้งก่อนที่จะย้ายไปยังเวอร์ชันในตัว ทั้งสองจะขัดแย้งกันหากวิ่งเคียงข้างกัน ข้อดีอย่างหนึ่งของการใช้เวอร์ชันเริ่มต้นคือ จะได้รับการอัปเดตผ่าน Windows Update เช่นเดียวกับอย่างอื่น ดังนั้นคุณจึงไม่จำเป็นต้องดูแลรักษาเครื่องมือแยกต่างหากอีกต่อไป
Microsoft จะมีอะไรตามมาบ้าง?
AI ที่มีเขารองเท้ามากขึ้น
การประกาศของ Microsoft เกี่ยวกับ Sysmon ที่เป็นส่วนหนึ่งของ Windows ยังรวมถึงทีเซอร์เกี่ยวกับการตรวจจับภัยคุกคามที่ขับเคลื่อนด้วย AI ซึ่งจะใช้การบันทึกของ Sysmon เพื่อตั้งค่าสถานะรูปแบบที่น่าสงสัยบนอุปกรณ์ สมมุติว่าสิ่งนี้จะไม่ส่งข้อมูลใดๆ ไปยังคลาวด์ ฉันยังคงสงสัยเกี่ยวกับการรวม AI เข้ากับเครื่องมือนี้ เนื่องจากจนถึงขณะนี้ Microsoft มีประวัติด้าน AI ในทางทฤษฎีฟังดูดี โดยโมเดลในพื้นที่จะตรวจจับพฤติกรรมที่ผิดปกติและแจ้งเตือนคุณเกี่ยวกับเรื่องนี้ แต่เราจะต้องดูอีกครั้งเมื่อฟีเจอร์นั้นลดลง
เหตุผลส่วนหนึ่งที่ทำให้ Sysmon ยอดเยี่ยมก็คือ มันเพียงแต่ทำตามที่ระบบกำหนดไว้ทุกประการ โดยไม่ต้องคาดเดา การเพิ่มเลเยอร์ AI สำหรับตรรกะการตรวจจับอาจเป็นการก้าวถอยหลัง หาก Microsoft ไม่ได้ให้วิธีการแก่ผู้ใช้ในการตรวจสอบและกำหนดค่าด้วยการควบคุมแบบละเอียด นอกจากนี้ยังต้องมีเอกสารที่ดีและมีสวิตช์ปิด แต่นี่คือ Microsoft ที่เรากำลังพูดถึง ดังนั้นฉันจึงไม่กลั้นหายใจ
ตอนนี้ Sysmon ใช้งานง่ายกว่าที่เคย
เพียงเปิดเครื่องและตั้งค่าคอนฟิก
การอัปเดตเดือนมีนาคม 2569 นำ Sysmon มาสู่ Windows Home, Pro และ Enterprise สามารถเปิดใช้งานได้โดยไปที่การตั้งค่า > ระบบ > คุณสมบัติเสริม > คุณสมบัติ Windows เพิ่มเติม > ทำเครื่องหมายที่ช่อง Sysmon และคลิกตกลง หลังจากนั้น ให้เปิด PowerShell ด้วยสิทธิ์ระดับสูง และดำเนินการ sysmon-i เพื่อสิ้นสุดการตั้งค่า Sysmon สามารถเรียกใช้ไฟล์การกำหนดค่าในรูปแบบ XML ได้เช่นกัน คุณสามารถสร้างของคุณเองหรือดาวน์โหลดออนไลน์ได้ เช่น การกำหนดค่า Sysmon ของ SwiftOnSecurity หรือทางแยกอย่างใดอย่างหนึ่ง หากต้องการใช้ไฟล์กำหนดค่า เพียงเรียกใช้ sysmon-i config.xml
เหตุผลหลักที่ผู้ใช้ระดับสูงจำนวนมากไม่เคยกังวลกับ Sysmon ก็เพราะคุณจำเป็นต้องติดตั้งซอฟต์แวร์เพิ่มเติมด้วยตนเอง ขณะนี้คุณลักษณะนี้ถูกสร้างไว้ใน Windows แล้ว ผู้ใช้จำนวนมากขึ้นสามารถใช้ประโยชน์จากความสามารถในการบันทึกและทำความเข้าใจกับสิ่งที่เกิดขึ้นเบื้องหลังในระบบของตนได้ดียิ่งขึ้น
หากคุณกำลังจะเปิด Sysmon เป็นครั้งแรก ฉันขอแนะนำให้คุณดูไฟล์การกำหนดค่าก่อน การรัน Sysmon ด้วยค่าเริ่มต้นหรือการตั้งค่าแบบกว้างๆ จะส่งผลให้มีการบันทึกข้อมูลจำนวนมหาศาล ซึ่งจะทำให้ใช้งานยากขึ้น เทมเพลตของ SwiftOnSecurity เป็นจุดเริ่มต้นที่ดี คุณสามารถใช้ตามที่เป็นอยู่หรือทำการแก้ไขด้วยตนเอง อาจใช้เวลาหนึ่งชั่วโมงในการทำความเข้าใจตัวเลือกต่างๆ ทั้งหมด แต่ไฟล์กำหนดค่าเป็น XML และอ่านง่าย
ช่องว่างการบันทึกได้ปิดลงในที่สุด
Windows ต้องการบางอย่างเช่น Sysmon มาเป็นเวลานาน เดิมเปิดตัวในปี 2014 แต่ต้องใช้เวลาจนถึงปี 2026 จึงจะเห็นว่าเป็นส่วนหนึ่งของ Windows ตามค่าเริ่มต้น สิ่งสำคัญคือเปิดให้ใช้งานฟรีและใช้งานได้กับ Windows 11 ทุกรุ่นที่คุณใช้อยู่
*️⃣ ลิงค์ที่มา:
ที่ทำอยู่เบื้องหลังในช่วงเวลาใดก็ตาม Event Viewer, Sysmon จะมีบันทึกการประทับเวลา, ประวัติของ Microsoft ด้วย AI, การกำหนดค่า Sysmon ของ SwiftOnSecurity ผู้ใช้ระดับสูงไม่เคยใส่ใจกับ Sysmon