Sysmon是由微軟官方推出的一款非常給力的系統(tǒng)監(jiān)視軟件，該軟件是Windows系統(tǒng)服務和設備驅(qū)動程序，一旦安裝在系統(tǒng)上，在系統(tǒng)重新啟動后即可保持駐留狀態(tài)，可以用來監(jiān)視系統(tǒng)活動并將系統(tǒng)活動記錄到Windows事件日志，提供有關(guān)進程創(chuàng)建、網(wǎng)絡連接和文件創(chuàng)建時間更改等功能，可幫助用戶隨時了解入侵者和惡意軟件在網(wǎng)絡上的操作行為。

【軟件功能】

　　使用當前進程和父進程的完整命令行記錄進程創(chuàng)建。

　　使用 SHA1 記錄進程圖像文件的哈希， (默認) 、MD5、SHA256 或 IMPHASH。

　　可以同時使用多個哈希。

　　在過程中包括進程 GUID，以允許關(guān)聯(lián)事件，即使 Windows 重復使用進程 ID 也是如此。

　　在每個事件中包含會話 GUID，以允許在同一登錄會話上關(guān)聯(lián)事件。

　　使用驅(qū)動程序或 DLL 的簽名和哈希記錄加載。

　　此時會打開日志，以便對磁盤和卷進行原始讀取訪問。

　?。蛇x）記錄網(wǎng)絡連接，包括每個連接的源進程、IP 地址、端口號、主機名和端口名稱。

　　檢測文件創(chuàng)建時間的更改，以了解何時真正創(chuàng)建文件。 修改文件創(chuàng)建時間戳是惡意軟件通常用于覆蓋其跟蹤的技術(shù)。

　　如果注冊表中已更改，則自動重新加載配置。

　　規(guī)則篩選以動態(tài)包含或排除某些事件。

　　從啟動過程中的早期生成事件，以捕獲由復雜的內(nèi)核模式惡意軟件生成的活動。