�V�������ԁuSysmon�v�̓g���u���V���[�e�B���O�̕K�g�c�[���ɂȂ肻���ȗ\���FIT�v���K�g�̒��֗��V�X�e���Ǘ��c�[���W�i6�j

�A�ږڎ�

Windows�g���u���V���[�e�B���O�c�[���̘V�܂ɐV�Q�Ҍ���

�@�uWindows Sysinternals�v�ɂ�60�𒴂��邳�܂��܂Ȗ����c�[��������܂����A�‚�����A2014�N8��5���i�č����ԁj�ɐV�����c�[���ƂȂ�uSysmon�iSystem Monitor�j�v�����ԓ��肵�܂����B8��20���ɂ͍X�V�ł́uv1.01�v�����J����A�C�x���g���O�\���̉��P��UDP�f�[�^�O�����̃��O�@�\���lj�����܂����B

�@Sysinternals�c�[���̏o����͔��ɒ��������ƂȂ̂ŁA���ꂾ���Ńj���[�X�Ƃ����܂��B�O��lj����ꂽ�̂�2013�N3���́uRu�iRegistry Usage�j�v�A���̑O��2012�N10���́uPsPing�v�ł��B����A�Ō�Ɉ��ނ����c�[���́A2011�N9���́uProcFeatures�v�ɂȂ�܂��i�񋟏I���̗��R�́A���������[�X���ꂽ�uCoreinfo v3.0�v�ɋ@�\����܂���Ă��邽�߁j�B

�@Sysmon��Windows�̃V�X�e���T�[�r�X����уh���C�o�[�Ƃ��ăC���X�g�[������A�V�X�e���̃X�^�[�g�A�b�v����V���b�g�_�E���܂ł̊ԁA�v���Z�X�̍쐬�A�l�b�g���[�N�ڑ��A�t�@�C���̍쐬���ύX�̃A�N�e�B�r�e�B���Ď����āA�C�x���g���O�ɋL�^���܂��B

�@Windows���N�����ォ��V���b�g�_�E���V�[�P���X�̍ŏI�i�K�܂ł̃A�N�e�B�r�e�B���L�^��������߁A����̕s����ȃV�X�e���̌��������A�X�^�[�g�A�b�v��V���b�g�_�E���̖�蒲���A���胆�[�U�[�̃��O�I���^���O�I�t���̒����A�}���E�F�A�̋��������Ȃǂɖ𗧂������ł��B

�@�{�A�ڂł͏Љ�Ă��܂��񂪁uProcmon�iProcess Monitor�j�v���N�����ォ��V���b�g�_�E���܂ŁA�v���Z�X�̃A�N�e�B�r�e�B�����j�^�����O�ł��܂����A������͂���΁g�v���d�l�̃c�[���h�BProcmon�̏ꍇ�A�c��ȋL�^�̒�������ƂȂ�������‚��o���ɂ́A���x�ȃ��U��m�����v������܂��i���1�j�B

���1�@�����悤�Ȏg�������ł���uProcmon�v�́A�v�������̃c�[���B���W���ꂽ�c��ȏ�񂩂�g���u���̌��������‚��o���͎̂���̋Z�i�y���z���̃c�[���͍����Sysmon�Ƃ͊֌W����܂���j

�@Sysmon�́g���l�����̃c�[���h�ɂȂ�܂��BSysmon�̋L�^����C�x���g���O�̓V���v���ł���A�������e�Ղł��B�������AProcmon��Sysmon�ɂ�钲���ŁA�����̓������������ł��邩�ǂ����́A�܂��ʂ̘b�ƂȂ�܂����c�c�B

Sysmon�̓R�}���h���C����‚ŃC���X�g�[���^�폜�”\

�@Sysmon�́AWindows�́u�V�X�e���T�[�r�X�v�i%SystemRoot%\Sysmon.exe�j�ƁuBOOT_START�v�h���C�o�[�i%SystemRoot%\Sysmondrv.sys�j����Ȃ�c�[���ł��BSysinternals�̃T�C�g����_�E�����[�h�����uSysmon.zip�v���𓀂��āA�uSysmon.exe�v�����̃R�}���h���C���Ŏ��s����ƁA�����̃t�@�C�����C���X�g�[������уV�X�e���ɓo�^����A�h���C�o�[���ǂݍ��܂�A�T�[�r�X���J�n���܂��i���2�j�B

���2�@�uSysmon -i -n�v�����s����ƁASysmon�T�[�r�X�ƊĎ��p�h���C�o�[���C���X�g�[�������BSysmon���폜���ĊĎ����I������ɂ́A�uSysmon -u�v�����s����

�@�u-i�v�I�v�V�����̓C���X�g�[���̂��߁A�u-n�v�I�v�V�����̓l�b�g���[�N�A�N�e�B�r�e�B�iIPv6�AIPv4�ATCP�AUDP�j���L�^���邽�߂̃I�v�V�����ɂȂ�܂��B

�@�C���X�g�[�����ꂽSysmon�́A�폜�����܂ŃV�X�e���œ��삵�����܂��BSysmon�̃T�[�r�X��h���C�o�[���V�X�e������폜����ɂ́A���̃R�}���h���C�������s���܂��B

�@Sysmon�́uBOOT_START�v�h���C�o�[�́A�����Windows�N�����ɃX�^�[�g�A�b�v�v���Z�X�̂��Ȃ葁���i�K�ő��̃h���C�o�[������ɓǂݍ��܂�A�A�N�e�B�r�e�B�̊Ď����J�n���܂��B�����āASysmon�T�[�r�X���J�n�����i�K�ŁA���łɎ��W�����X�^�[�g�A�b�v���̃��O���܂߂āA�C�x���g���O�ւ̏������݂��J�n���܂��B

�@���̂��߁A�g���u���̌������X�^�[�g�A�b�v���ɂ���ꍇ�́A���̍��Ղ��L�^�����”\��������܂��i���3�A���4�j�B�܂��A���̃h���C�o�[�̓V���b�g�_�E���V�[�P���X�̍ŏI�i�K�܂Ŏc�邽�߁A�V���b�g�_�E���Ɏ��Ԃ�������A�܂��̓V���b�g�_�E�����������Ȃ��Ȃǂ̖��̒����ɂ��g����ł��傤�B

���3�@Sysmon���L�^�����v���Z�X�쐬�C�x���g�B���̃��O�̗�́uAutochk.exe�v�́AWindows���N������O�Ɏ��s�����f�B�X�N�`�F�b�N�̃v���Z�X�BSysmon�����Ȃ葁���i�K����A�N�e�B�r�e�B���Ď����Ă��邱�Ƃ�����������₷���Ⴞ

���4�@Sysmon���L�^�����l�b�g���[�N�ڑ��̌��o�C�x���g�B�ڑ����J�n�����v���Z�X�ATCP�ڑ���UDP�f�[�^�O������IP�A�h���X��FQDN�iFully Qualified Domain Name�F���S�C���h���C�����j�A�|�[�g�ԍ��Ȃǂ̏�񂪋L�^����Ă���

�@Sysmon�́A�C�x���g���O�́uMicrosoft-Windows-Sysmon�^Operational�v�ɁA�V�X�e���̃A�N�e�B�r�e�B�Ɋւ��鎟��3��ނ̃C�x���g���L�^���܂��B�e�C�x���g�̏ڍׂ́A�C�x���g�v���p�e�B�̏ڍׂ���Q�Ƃ��邱�Ƃ��”\�ł��B

• �C�x���gID 1 Process Create�i�v���Z�X�̍쐬�j
• �C�x���gID 2 File creation time changed�i�t�@�C���쐬�����̕ύX�j
• �C�x���gID 3 Network connection detected�i�l�b�g���[�N�ڑ��̌��o�j

Sysmon�ŕۑ����ꂽ�C�x���g���O���Q�Ƃ���ɂ́H

�@Sysmon���V�X�e������폜����ƁuMicrosoft-Windows-Sysmon�^Operational�v�̓A�N�e�B�u�ȃ��O�ł͂Ȃ��Ȃ�A�C�x���g���O�́u�A�v���P�[�V�����ƃT�[�r�X�v�ɂ͕\������Ȃ��Ȃ�܂��B�������A���O�t�@�C���́u%SystemRoot%\System32\Winevt\Logs\Microsoft-Windows-Sysmon%4Operational.evtx�v�Ƃ��Ďc�邽�߁A����PC�܂��͕ʂ�PC�ŕۑ����ꂽ���O�Ƃ��ĊJ���ĎQ�Ƃ��邱�Ƃ��”\�ł��B

�@Sysmon���V�X�e������폜����ƁA���̃C�x���g���O��\�������邽�߂́u�C�x���g�}�j�t�F�X�g�v���܂��폜����邽�߁A�u�C�x���g�r���[�A�[�v�̓��O�𐳂����\�����邱�Ƃ��ł��܂���B���O�𐳂����\������ɂ́A���̃R�}���h���C�������s���Ă��������B����ɂ��ASysmon�̃T�[�r�X��h���C�o�[���C���X�g�[�������ɁA�C�x���g�}�j�t�F�X�g�݂̂��C���X�g�[�����邱�Ƃ��ł��܂��i���5�j�B

���5�@Sysmon�̃C�x���g�}�j�t�F�X�g�݂̂��C���X�g�[�����āASysmon�̃��O�t�@�C�����Q�Ƃ���