Sysmon
ATTENZIONE:
​La registrazione dei log Sysmon è disponibile esclusivamente con la licenza "Tracking".
BusinessLog supporta l'acquisizione degli eventi prodotti da Sysmon (System Monitor), uno strumento sviluppato da
Microsoft Sysinternals che estende le funzionalità di registrazione eventi di Windows.
A differenza dei tradizionali registri di sistema, Sysmon registra informazioni molto più dettagliate sulle attività eseguite dal sistema operativo, consentendo di monitorare eventi quali la creazione e la terminazione dei processi, il caricamento dei driver, gli eventi WMI, gli accessi diretti ai dischi e numerose altre operazioni utili per le attività di auditing e sicurezza.
L'integrazione con BusinessLog consente di acquisire automaticamente questi eventi e di renderli disponibili per la consultazione e l'analisi direttamente all'interno dell'applicazione.
Una volta installato e configurato Sysmon, gli eventi vengono acquisiti automaticamente da BusinessLog e sono consultabili nel nuovo archivio Elenco Log da Sysmon, disponibile nella sezione Archivi Log.
La griglia consente di visualizzare gli eventi registrati, applicare filtri e ricercare rapidamente le informazioni di interesse.
BusinessLog configura automaticamente Sysmon per registrare i principali eventi di sistema, tra cui:
-
ID 1 – Creazione di processi
-
ID 5 – Terminazione di processi
-
ID 6 – Caricamento dei driver
-
ID 8 – Creazione di thread remoti
-
ID 9 – Accesso diretto al disco
-
ID 19, 20 e 21 – Eventi WMI
-
ID 25 – Manomissione dei processi (Process Tampering)
-
ID 29 – Rilevamento di nuovi file eseguibili
Installazione e Configurazione
Per utilizzare questa funzionalità è necessario installare Sysmon sulle macchine da monitorare.
Sono disponibili due modalità di installazione.
​
Installazione manuale
​
L’installazione viene eseguita localmente sulla macchina da monitorare tramite PowerShell avviato con privilegi di amministratore.
Questa modalità può essere utilizzata anche sui client RT.
Consulta la procedura di installazione manuale di Sysmon
​
Distribuzione remota
​
BusinessLog consente di distribuire automaticamente l’installazione e la configurazione di Sysmon sulle postazioni remote mediante PowerShell e WinRM.
Questa modalità è indicata per la configurazione centralizzata delle macchine della rete aziendale.
NOTA: Sysmon è supportato anche sui client RT.
Su questi client, tuttavia, non è possibile propagare da remoto il comando PowerShell tramite WinRM.
L’installazione e la configurazione di Sysmon devono pertanto essere eseguite localmente, seguendo la procedura manuale.
Database
Gli eventi acquisiti vengono archiviati nel nuovo database 'dbSysmon.vdb6', presente nella cartella dei database di BusinessLog.
BlogTools è stato aggiornato per consentire la gestione del nuovo database con le stesse funzionalità disponibili per gli altri archivi.
ATTENZIONE:
​La registrazione degli eventi Sysmon può produrre una quantità molto elevata di dati.
Indicativamente, una normale postazione di lavoro genera circa 50.000-60.000 eventi al giorno, mentre un server può produrne almeno dieci volte tanto.
Si consiglia pertanto di attivare questa funzionalità solo quando realmente necessario e su sistemi adeguatamente dimensionati.