Sysmon — Télémétrie avancée Windows
★★★★★
Event IDs Sysmon clés
1 Création de processus (ligne de commande complète)
3 Connexion réseau (process -> IP:port)
7 DLL chargée
8 CreateRemoteThread (injection de code !)
10 Accès à la mémoire d un processus
-> lsass.exe = dump credentials (Mimikatz !)
22 Requête DNS (quel process contacte quoi)Installation et config
# Config SwiftOnSecurity (référence)
sysmon.exe -accepteula -i sysmonconfig-export.xml
# Les logs :
Applications and Services Logs > Microsoft > Windows > Sysmon > Operational
# Détecter accès lsass
Get-WinEvent -FilterHashtable @{LogName="Microsoft-Windows-Sysmon/Operational";Id=10} |
Where-Object {$_.Message -match "lsass.exe"}