系统极客一直在努力
专注于操作系统及软件使用教程

SysInternals系列:使用Sysmon将监控事件写入系统日志

Sysinternals

Sysmon 是 Sysinternals 工具集中的一款命令行工具,它可以在后台对 Windows 系统进行监视,并将某些事件写入到 Event Log 当中,以扩展 Windows 事件日志的相关功能。Sysmon 是纯命令行工具,无需用户交互或图形用户界面,就可以自行完成日志记录操作。

要将 Sysmon 注册到 Windows 系统当中,可以使用以下步骤:

1 在「开始」菜单中搜索 cmd——右击「命令提示符」——选择「以管理员身份运行」

2 转到 Sysmon.exe 或 Sysmon64.exe 的存放路径——执行以下命令进行注册:

Sysmon64.exe -accepteula –i

Sysmon

注意:32 位系统用 Sysmon.exe,64 位 Windows 推荐使用 Sysmon64.exe。

3 注册完成后,在「事件查看器」——「应用程序和服务日志」——「Microsoft」——「Windows」下会多出一项「Sysmon」文件夹,其中记录了 Sysmon 写入到 Event Log 中的所有事件。

Sysmon

sysmon 可以监控的「事件类型」在其官网上有详细介绍,这里我们就不赘述了。

Microsoft Azure CTO 也是 Sysinternals 工具集的创建者

Mark Russinovich,于 2019 年 6 月 8 日在 Twitter 上介绍了新版 Sysmon 工具的一项新功能,即:Sysmon 可以将「DNS 查询日志记录」写入到 Windows 事件日志当中。也就是说,当某个进程执行 DNS 查询时,无论结果是成功还是失败,缓存与否,都会生成 Event ID 22: DNSEvent 事件。

Event ID 22

4 如果要取消 Sysmon 对系统的监控以及对事件日志的写入操作,可以使用以下命令:

Sysmon64.exe -u

当然,其实 Windows 本身的事件日志也是支持记录 DNS 查询日志的,但需要用户手动启动:

1 使用 Windows + R 快捷键打开「运行」——执行 eventvwr.msc 打开「事件查看器」

2 浏览到「应用程序和服务日志」——「Microsoft」——「Windows」——「DNS Client Events 」

3 右击「Operational 」——选择「启用日志」即可

DNS Client Events

打赏
分享到: 更多 (0)

猜你喜欢

评论 抢沙发

  • 昵称 (必填)
  • 邮箱 (必填)
  • 网址

觉得文章有用就打赏一下文章作者

支付宝扫一扫打赏

微信扫一扫打赏