Splunkと一緒に。contentSplunkと一緒に。Essentailルール(異常に長いCLIコマンドの検索)を利用しますので下記参考の上、設定してみてくださいhttps://qiita.com/odorusatoshi/items/201af5bb1bbc40b832bc(本来であれば擬似的な攻撃ツールの利用方法を元に検知するのが望ましいですが、手法を載せるのは昨今の情勢上難しいため、ごめんなさい)sysmonログを使った調査ダッシュボードを活用アラートを受け取ったら、「原因調査」と「影響範囲の確認」ダッシュボードを用意しましょう少しでもビジュアライズをよくして見やすくするために以下Appをインストールします。任意の名前を入力し、ダッシュボードの作成xmlソースまるごと貼り付けて保存。ダッシュボードの使い方(TIPS)アラートメールを受け取ったら、ダッシュボードを開く。時間、ホスト、プロセス名をセットしてEnter期間は、アラート発生前の数時間とプロセス名は部分一致でいいので必ずセット。ないと検索が遅くなります。「sysmon相関図v2」の使い方ボタンを押してもドリルダウンサーチはしません。俯瞰的にプロセスの親子関係、通信先を確認します。左のパネルのProcessIdをクリックすると右のパネルに共通PIDを含む親プロセスが表示されますこの例の場合、打ち合わせ議事録.vbsをクリックしたことがきっかけであることがわかります。「Sysmonログによる影響範囲調査」の使い方powershellを含むプロセスが他にどのような操作を行っていたか表示するパネルです。この例の場合、powershell実行の後に、systeminfoやtaskの作成などの横展開活動を行うコマンドが記録されていることがわかります。↓やや見にくくて恐縮ですが、同パネルを⇢にずーっとスライドしていくと、親プロセスも対となって記録されています。まとめsysmonを収集していると、不審なプロセスを検知し、プロセスの発生原因を特定できるケースがある攻撃の手口の複雑さによっては、ここまでわかりやすく見えないケースも多々あると思います。転送されるトラフィックやデータサイズは?1台のPCあたり5-10MB/dayです。世界では40万PCから収集しているユーザーもいるので、エンドポイントに大量のUFを配る方法や転送トラフィックの圧縮などいろいろなTIPSがありますが、詳しくはまたの機会に。sysmon以外にもwindowsから追加でログ収集したくなった一度UFをPCに配っている人は、あとからいつでもログ収集の対象を増やすことが簡単です。operationのログなども追加取得を推奨します。