U-SERVER

Sysmon

System Monitor
WindowsБезопасностьМониторингПродвинутый

Sysmon — компонент Sysinternals для Windows, записывающий в журнал событий детализированную телеметрию о процессах, сетевых соединениях и операциях с файлами и реестром.

Sysmon — System Monitor, системная служба и драйвер из набора Microsoft Sysinternals, расширяющие журналирование Windows событиями, полезными для расследования и обнаружения угроз. Он может фиксировать создание процессов, хеши образов, сетевые подключения, загрузку драйверов, создание файлов и изменения реестра. Набор собираемых событий и правила включения либо исключения задаются XML-конфигурацией. Sysmon пишет записи в собственный канал журнала Windows Event Log; для анализа обычно требуется передача событий на коллектор или в SIEM. Объём журналов и нагрузка зависят от включённых типов событий и селективности фильтров. Sysmon применяют на рабочих станциях и серверах для расследования инцидентов, контроля запускаемых процессов и построения корреляционных правил. Он не является EDR-системой: компонент собирает и журналирует телеметрию, но сам по себе не выполняет комплексное реагирование или поведенческий анализ.

Синонимы и варианты написания:

Сисмон
Просмотров: 12

Статьи по теме

Материалы раздела, к которому относится термин

Связанные термины

AMSI(Antimalware Scan Interface)

AMSI — интерфейс Windows, через который интегрированные приложения передают содержимое скриптов, макросов и другие данные зарегистрированному средству защиты для проверки.

БезопасностьWindowsМониторинг

Attack Surface Reduction(Attack surface reduction rules)

Правила Attack Surface Reduction (ASR) — набор правил Microsoft Defender Antivirus для Windows, блокирующих или аудирующих рискованные действия приложений, документов и сценариев.

БезопасностьWindowsМониторинг

AIDE(Advanced Intrusion Detection Environment)

AIDE — средство контроля целостности файлов Linux и Unix, сравнивающее текущее состояние файловой системы с заранее созданной доверенной базой атрибутов и хешей.

БезопасностьLinuxМониторинг

Credential Guard

Credential Guard — функция Windows, изолирующая учётные данные и производные секреты с помощью виртуализации, чтобы ограничить их извлечение из процессов ОС.

БезопасностьWindowsВиртуализация

EDR(Endpoint Detection and Response)

EDR — класс систем защиты конечных точек, которые собирают телеметрию, выявляют подозрительную активность и помогают расследовать и сдерживать инциденты.

БезопасностьМониторингУправление
Вернуться к глоссариюВсе термины на букву «S»