Distribución remota de Sysmon
BusinessLog permite instalar y configurar automáticamente Sysmon en los equipos remotos mediante un comando de PowerShell ejecutado a través de WinRM.
Esta modalidad permite evitar la instalación manual en cada equipo y puede utilizarse para configurar de forma centralizada varios puestos de trabajo de la red empresarial.
Requisitos
Antes de continuar, compruebe que:
-
WinRM esté activo y correctamente configurado en el equipo de destino;
-
el equipo sea accesible desde el servidor BusinessLog;
-
el usuario utilizado disponga de los privilegios administrativos necesarios;
-
el script ConfiguraSysmonBusinessLog.ps1 esté presente en la subcarpeta Sysmon de la instalación de BusinessLog;
-
los posibles firewalls no bloqueen las comunicaciones necesarias para WinRM.
Programación del comando de PowerShell
Abra la pantalla utilizada para programar los comandos de PowerShell y seleccione la plantilla:
Configurar Sysmon para BusinessLog
BusinessLog genera el siguiente comando:
-
{businesslogpath} se sustituye por la ruta de instalación de BusinessLog;
-
{maquina} se sustituye por el nombre del equipo en el que se instalará y configurará Sysmon;
-
el parámetro -ComputerName identifica el equipo remoto en el que debe ejecutarse el procedimiento.
Si es necesario, configure la fecha y la hora de ejecución del comando utilizando los controles disponibles en la pantalla.
Operaciones realizadas
El script ConfiguraSysmonBusinessLog.ps1 ejecuta automáticamente en el equipo indicado:
-
la instalación de Sysmon;
-
la creación y aplicación de la configuración de BusinessLog;
-
la habilitación de los eventos supervisados;
-
la activación del registro Microsoft-Windows-Sysmon/Operational.
Al finalizar la ejecución, compruebe que el servicio Sysmon esté instalado y que se hayan registrado nuevos eventos en el correspondiente registro operativo.
NOTA: Sysmon también es compatible con los clientes RT. Sin embargo, en estos clientes no es posible propagar de forma remota el comando de PowerShell mediante WinRM. Por lo tanto, la instalación y configuración de Sysmon deben realizarse localmente, siguiendo el procedimiento descrito en la página Instalación manual de Sysmon.