개념 사전 · 프로그램
Sysmon
Sysinternals System Monitor · 시스몬
은 시스템의 ·네트워크·파일 등 상세 활동을 이벤트 로그로 기록하는 Sysinternals 도구다. 설치만으로 모든 이벤트가 동일하게 수집되는 것은 아니며 구성과 이벤트 유형의 활성화 상태를 확인한다.
밑줄 용어에 마우스를 올리거나, 키보드로 선택하거나, 터치하면 설명을 볼 수 있습니다.
01무엇이고, 어떤 일을 하나
- 생성과 관련 활동을 식별자로 연결한다.
- 보안 관제에 필요한 상세 호스트 이벤트를 제공한다.
- 다른 로그와 결합해 사고의 실행 흐름을 추적한다.
02어떤 순서로 동작하나
- 수집 정책 정의
조사 목적에 맞는 이벤트 종류·포함·제외 조건과 저장량을 정한다. 설치·설정 변경과 실제 이벤트 생성을 각각 확인한다.
- 호스트 관찰
드라이버와 서비스가 지원 활동을 관찰해 Microsoft--/Operational 등의 이벤트 경로에 기록한다. 이벤트 종류별 기본 활성화 여부는 다르다.
- 이벤트 연결
시각··부모 ·파일·연결 필드를 대조한다. 단순 PID만으로 오래 떨어진 사건을 같은 프로세스라고 연결하지 않는다.
- 중앙 분석
수집기가 원본 이벤트와 필드를 관제 저장소에 전달하게 하고 누락·지연·필터 영향까지 확인한다. 행위 기록과 악성 판정은 별도 단계다.
03먼저 알아둘 용어와 구성요소
- 기록 종류를 구분하는 번호.
- 관련 이벤트를 연결하는 식별자.
- 운영체제 번호로 재사용 가능성이 있다.
- 수집할 이벤트와 제외할 조건을 정하는 설정.
- 생성과 관련된 이벤트.
- 네트워크 연결 이벤트로 기본 비활성화 조건을 확인해야 한다.
- 파일 생성·덮어쓰기와 관련된 이벤트.
- 이벤트 시간 비교에 사용하는 협정 세계시 기준.
04예제로 따라가기
- 의 생성과 후속 파일·네트워크 이벤트를 와 시간으로 연결하면 실행 흐름을 좁힐 수 있다.
- 의 네트워크 연결 기록은 기본 비활성화되므로 비어 있다는 이유만으로 통신이 없었다고 단정할 수 없다.
- 은 파일 생성·덮어쓰기와 관계되며 해당 파일이 실제 실행되었다는 결론에는 다른 증거가 필요하다.
05혼동하기 쉬운 점과 확인 기준
- 모든 이벤트가 공격을 의미하지 않으며 정상 관리·업데이트 작업도 상세 활동을 남긴다.
- 구성 변경·서비스 중단·로그 보존 한도·수집기 장애 때문에 발생한 공백을 위협 행위의 부재로 해석하지 않는다.
06상세 노트 · 실습 자료
헤더 구조, 설정 예시, 수치 계산과 수업 캡처는 아래 노트에서 이어집니다.
공식 문서 · 표준
기초 개념과 동작 설명을 대조한 자료입니다. 제품 버전과 실제 설정에 따른 차이는 본문 및 원문에서 확인하세요.