- Hızlı Bağlantılar
- İlgili özellikler
- Günlük yönetimi
- Windows günlük yönetimi
- Syslog yönetimi
- Sunucu günlüğü yönetimi
-
Uygulama günlüğü yönetimi
-
Veritabanı denetimi
-
Ağ aygıtı izlemesi
- Günlük yönetimi
- İlgili ürünler
Sistem İzleyicisi (Sysmon), ayrıntılı günlük kaydı özellikleriyle donatılmış ve çoğunlukla varsayılan olarak kaydedilmeyen güvenlik olaylarını yakalayan bir Windows günlük kaydı eklentisidir. İşlem oluşturma, ağ bağlantıları, dosya sistemlerindeki değişiklikler ve daha fazlası hakkında bilgiler verir. Sysmon günlüklerini analiz etmek, kötü amaçlı etkinlikleri ve güvenlik tehditlerini tespit etmede büyük önem taşır.
Etkili bir günlük yönetimi çözümü olan ManageEngine EventLog Analyzer, uç nokta güvenliğini sağlamak için Sysmon günlüklerini tüm Windows ve Linux cihazlarından toplayabilir ve merkezi olarak izleyebilir.
Sysmon yüklü cihazlardan günlüklerin alınması üzerine, EventLog Analyzer, kritik olaylar hakkında ayrıntılı bilgileri sezgisel grafikler ve çizelgeler biçiminde sunan kullanıma hazır raporları otomatik oluşturur.
EventLog Analyzer, mevcut durumda çalışmakta olan işlemlerin yanı sıra sonlandırılan işlemleri de içeren çeşitli işlemleri izlemenize yardımcı olur. İşlem hakkında, işlem adının yanı sıra, işlem kimliği, üst işlem adı ve işlem komut satırı gibi ek bilgileri de görüntüleyebilirsiniz. Bu bilgilerin tehdit akışlarıyla korelasyonunu belirleyerek, kötü amaçlı yazılım yükleme etkinliklerini veya kötü amaçlı yazılım saldırılarını tespit edebilirsiniz.
EventLog Analyzer, mevcut durumda çalışmakta olan işlemlerin yanı sıra sonlandırılan işlemleri de içeren çeşitli işlemleri izlemenize yardımcı olur. İşlem hakkında, işlem adının yanı sıra, işlem kimliği, üst işlem adı ve işlem komut satırı gibi ek bilgileri de görüntüleyebilirsiniz. Bu bilgilerin tehdit akışlarıyla korelasyonunu belirleyerek, kötü amaçlı yazılım yükleme etkinliklerini veya kötü amaçlı yazılım saldırılarını tespit edebilirsiniz.
EventLog Analyzer, kötü amaçlı yazılımların kullandığı çeşitli teknikleri tespit etmenize ve incelemenize yardımcı olabilir. Örneğin, kötü amaçlı yazılımlar çoğu zaman izlerini gizlemek amacıyla dosya oluşturma zaman damgalarını değiştirir. EventLog Analyzer'ın dosya denetim raporlarıyla, dosya değişikliklerini gerçek zamanlı olarak analiz edebilirsiniz. Kötü amaçlı yazılımların kullandığı bir diğer yaygın teknik, işlem içi iletişim için adlandırılmış kanalların kullanılmasıdır. EventLog Analyzer'ın işlem denetim raporları, bir kanal oluşturulduğunda veya bağlandığında oluşturulan Sysmon olay günlüklerini izlemenize yardımcı olabilir.
EventLog Analyzer'ı MITRE ATT&CK çerçevesiyle tümleştirdiğinizde, ayrıcalık yükseltme saldırıları gibi kötü amaçlı etkinlikleri tespit etmek üzere Sysmon günlüklerini analiz edebilirsiniz. Örneğin, işlem oluşturma etkinliklerini izleyerek, bir sistemdeki işlem ayrıcalıklarını yükseltmek için Kullanıcı Erişim Denetimi mekanizmalarını atlatmaya çalışan saldırganları tespit edebilirsiniz.
EventLog Analyzer ile dosya ve akış oluşturma işlemlerini izleyebilirsiniz. Bir dosya oluşturulduğunda veya bir dosyanın üzerine yazıldığında dosya oluşturma işlemleri günlüğe kaydedilir. Buna ek olarak, Ham Erişim Okuma raporuyla bir sürücüde gerçekleştirilen okuma işlemlerini de izleyebilirsiniz. Bu, ilgili dosyalara yönelik veri sızdırma saldırılarını önlemenize yardımcı olabilir. EventLog Analyzer'ın Dosya Akışı Oluşturma raporu ile bir dosya akışı oluşturulduğunda izleme yaparak tarayıcı indirme işlemleri aracılığıyla yürütülebilir dosyalarını veya yapılandırma ayarlarını bırakan belirli kötü amaçlı yazılımları takip edebilirsiniz.
EventLog Analyzer'ın detaylı Sysmon günlük analizi yapma özelliği sayesinde ağ bağlantılarını izleyebilir ve her bağlantının işlem kimliği, kaynak IP adresi, kaynak ve hedef bağlantı noktaları ve daha fazlası ile ilgili bilgi edinebilirsiniz. Buna ek olarak sonucundan (Başarılı, Başarısız veya Önbelleğe Alınmış) bağımsız olarak bir işlem bir DNS sorgusu yürüttüğünde oluşturulan günlükleri analiz edebilirsiniz.
Saldırganlar bazı durumlarda, kayıt defterlerini kötü amaçlı uygulamaları başlatacak biçimde değiştirerek bir saldırı başlatır. EventLog Analyzer ile kayıt defteri anahtarları ve kayıt defteri değerlerindekiler gibi değişiklikleri izleyebilirsiniz.
Dahası, hizmetin sürüm numarasıyla birlikte çalışmaya başlayıp başlamadığını veya çalışmayı durdurup durdurmadığını belirten Hizmet Durumu Değişikliği raporunu kullanarak bir Sysmon hizmetinin durumunu izleyebilirsiniz.
Saldırganlar bazı durumlarda, kayıt defterlerini kötü amaçlı uygulamaları başlatacak biçimde değiştirerek bir saldırı başlatır. EventLog Analyzer ile kayıt defteri anahtarları ve kayıt defteri değerlerindekiler gibi değişiklikleri izleyebilirsiniz.
Dahası, hizmetin sürüm numarasıyla birlikte çalışmaya başlayıp başlamadığını veya çalışmayı durdurup durdurmadığını belirten Hizmet Durumu Değişikliği raporunu kullanarak bir Sysmon hizmetinin durumunu izleyebilirsiniz.
IIS ve Apache web sunucularınızdaki web sunucusu saldırılarını EventLog Analyzer'ın yardımıyla tespit ederek azaltabilirsiniz. Ayrıca hata olayları, güvenlik saldırıları, kullanım analizleri ve daha fazlası ile ilgili grafik biçiminde, kapsamlı raporlar sunar.
EventLog Analyzer, etkili Sysmon günlük analizini kullanarak ayrıcalık yükseltmeleri ve yanal hareketler gibi bilinen saldırı düzenlerini algılar.
Saldırıları erken aşamalarda tespit etmek için işlem oluşturma veya değiştirme olayları ile tehdit bilgileri veya diğer güvenlik olayları arasındaki korelasyonu belirleyin.
Sysmon günlüklerinizi ileride gerçekleştirilebilecek ayrıntılı neden analizleri ve düzenleyici kurum uyumluluk gereklilikleri amaçları kapsamında güvenli bir şekilde arşivleyin.
EventLog Analyzer'ın güçlü günlük arama motoruyla ağ günlüklerinizi analiz ederek bir güvenlik ihlalinin temel nedenini tespit edin.
Sysmon günlük dosyaları aşağıda belirtilen dosya yolunda bulunabilir:
C:\Windows\System32\winevt\Logs\.
Olay Görüntüleyicisi'nde Sysmon günlüklerini Uygulamalar ve Hizmetler Günlükleri > Microsoft > Windows > Sysmon alanından görüntüleyebilirsiniz.
İzlenmesi gereken Sysmon olayı kimlikleri:
EventLog Analyzer'da Sysmon günlüklerinin izlenmesi için, Ayarlar > Yapılandırma > Uygulama Kaynaklarını Yönet alanına gidilerek Sysmon yüklü cihazlar eklenebilir. Daha fazla bilgi edinmek için buraya tıklayın.
Sysmon, Windows sistem etkinlikleri hakkında işlem oluşturma, ağ bağlantıları ve dosya oluşturma zamanındaki değişiklikleri içeren ayrıntılı bilgileri gerçek zamanlı olarak sağlamak üzere geliştirilmiş bir Windows sistem cihazıdır. Yüklenip yapılandırılmasının ardından otomatik olarak Windows ile birlikte başlatılan bir Windows hizmeti ve cihaz sürücüsü olarak çalışır. Bu, izlemenin sistem yeniden başlatıldıktan sonra da devam etmesini ve sistemin başlangıcından kapanışa kadar etkin olmasını sağlar. Bu, kullanıcıya sistem ve kullanıcı davranışları hakkında daha sonra saldırı tespiti, anormallik tespiti ve ayrıntılı neden analizi için kullanılabilecek içgörüler sunabilir.
Sysmon, işlem oluşturma ve sonlandırma, ağ bağlantıları, dosya ve kayıt defteri değişiklikleri, DNS sorguları vb. dahil olmak üzere birçok farklı sistem etkinliğinin izlenmesi ve kaydedilmesi amacıyla kullanılabilir. Bu, kötü amaçlı yazılımların bulaştığı durumları tespit etmek, incelemek ve saldırganların davranışlarını takip etmek için kullanılabilir. Sysmon günlükleri, mevcut sistemlerin kullanılma şekline ilişkin içgörüler elde edilmesinde önemli bir destek sunar.
Sysmon günlükleri, geniş bir kapsama yayılmış birçok farklı sistem etkinliğine ilişkin ayrıntılı içgörüler sağlayarak ağınıza bakış alanınızı genişletir. Bu kapsamlı günlük kaydı, bir güvenlik ihlaline işaret edebilecek anormallikleri ve şüpheli davranışları tanımlamanıza yardımcı olabilir. Dahası, Sysmon günlükleri, ağınızdaki güvenlik olaylarına merkezi bir bakış sunmak amacıyla günlük yönetimi çözümleriyle etkili bir şekilde tümleştirilebilir ve bu da farklı kaynaklardan gelen olayların korelasyonunu belirlemenize, olası tehditleri tespit etmenize ve olay yanıtını kolaylaştırmanıza yardımcı olabilir.