蓝队技术 | 使用Sysmon日志识别和分析Windows恶意活动
内容提要
本文介绍了使用Sysmon日志分析恶意软件行为的方法，通过分析事件ID识别恶意活动，如恶意进程创建、文件下载和修改、网络连接等。文章还提供了一些问题，如Event ID 11的事件日志总数、恶意文件的时间戳、恶意进程的终止时间等。通过分析日志了解恶意软件的活动和行为。
延伸解读
Sysmon日志分析的关键事件ID
文章重点使用了Sysmon的多个事件ID来追踪恶意软件行为：Event ID 1（进程创建）用于发现恶意进程及其父进程；Event ID 11（文件创建）用于监控文件落地；Event ID 2（文件创建时间修改）用于识别时间戳篡改；Event ID 3（网络连接）和Event ID 22（DNS查询）用于分析网络活动；Event ID 5（进程终止）用于确定恶意进程的结束时间。这些事件ID的组合提供了完整的攻击链视图。
恶意软件的时间戳篡改与防御规避
恶意软件在创建文件后，通过修改文件创建时间戳来伪装文件为旧文件，以规避检测。例如，PDF文件的时间戳被修改为2024-01-14 08:10:06，而实际创建时间为2024-02-14。这种技术（T1027）在Sysmon日志中记录为Event ID 2，安全人员可通过对比PreviousCreationTimeUTC和CreationTimeUTC发现异常。
从日志分析到威胁情报的闭环
文章展示了如何通过Sysmon日志提取恶意文件的哈希值（如SHA256），并在VirusTotal等平台确认其恶意性。同时，通过DNS查询和网络连接日志，可以追溯恶意软件的下载源（Dropbox）和C2通信（如www.example.com和93.184.216.34）。这种从本地日志到外部情报的关联分析，有助于全面理解攻击者的基础设施和意图。
工具链与分析方法
文章使用EvtxECmd.exe将EVTX日志转换为JSON格式，并利用jq工具进行过滤和统计。这种方法便于处理大量日志数据，快速提取关键事件。例如，通过jq筛选Event ID 11并统计数量，或通过findstr定位特定进程ID的日志。这种工具组合提高了分析效率，适用于实际应急响应场景。
Q&A
Sysmon日志如何帮助识别恶意活动？
Sysmon日志通过记录事件ID，如进程创建、文件修改和网络连接，提供详细的系统操作信息，帮助安全专家检测潜在的恶意活动。
如何使用EvtxeCmd.exe工具分析Sysmon日志？
使用EvtxeCmd.exe工具可以将Windows事件日志转换为JSON格式，便于后续分析和处理。
恶意软件是如何通过Firefox下载的？
恶意软件通过Firefox从Dropbox下载，并在目标设备上创建多个文件，记录在Sysmon日志中。
Sysmon日志中Event ID 11的作用是什么？
Event ID 11记录文件创建事件，能够帮助分析恶意软件在系统中创建的文件。
恶意软件如何修改文件时间戳以规避检测？
恶意软件通过修改文件的创建时间戳，使其看起来很旧，从而规避安全检测。
如何分析Sysmon日志中的网络连接事件？
可以通过筛选Event ID 3来分析网络连接事件，查看恶意进程的源IP和目标IP。
