後編タイトルは「イベントログを可視化」になってるけど前回に続き今回もちょっと違うのでスミマセン。Sysmon環境で利用できるWindows端末調査ツールのSysmonSearchというのをリリースしたということで、面白そうなので触ってみた。WindowsにSysmonをインストール面倒だが、監視対象のWindows全台に対してSysmonのインストールとWinlogbeatの設定変更までを行う。exit今回インストールするsysmonは64版でdownloadsフォルダに保存してあるとする。実行ユーザーのアカウントをfoobarとしているので自分のアカウントに読み替えて。これでSysmonがサービスとして登録され、且つ起動した状態になる。次回以降のWindowsシステム起動時に自動的にサービスが起動する筈だが、念の為に「サービス」を確認しておいた方が良いかも。テンプレートをfalseにすると要らないかな?「サービス」でwinlogbeatを再起動する。winlogbeatのインデックスが変わったら既存のインデックスパターンやTimelionやVisualizeでそれを使用するものに影響するので注意。Installに従う。(日本語のドキュメント)以下のインストール手順はFreeBSDに合わせているのでLinuxの人は読み飛ばして下さい。Elasticsearch6とkibana6は既にインストール済みで稼働中とします。Searchもその下に置くことにする。Kibanaをインターネットから見られるようになっているなら別のところに置いた方が良いかも。何処に置いても良いんだし。/usr/local/www/kibana6/SysmonSearch/stixioc-import-server/logsFreeBSDのports/pkgでインストールしたPythonがpythonというコマンドで実行できない場合はシンボリックリンクを張る。$DATEstixioc-import-serverを起動。server.pyKibana6を再起動。restart再起動後は暫く待つ。再起動前にブラウザでKibanaを表示した状態でKibanaを再起動するのが再起動完了がわかりやすくてオススメ。SysmonSearchを触ってみるSysmonSearchはKibanaから操作する。先に書いておくと、インストールに問題があるのかSysmonSearchの完成度の問題なのかいろいろ機能していない。インストールの問題であれば改善したときにこの記事を更新するかも。(左列を折りたたんだ状態では[S]という表示)をクリック。右列上部で[Search]タブをクリック。それ以外のタブは機能させる方法が解らなかった。日付・時間で表示範囲を指定。