设为首页收藏本站
  • 首页
  • 社区
  • 导读
  • 社区活动
  • 技术支持
  • 知识教程
    • 绿联NAS私有云社区»社区 › 产品交流 › 玩法攻略 › [安全防护]主机日志记录 SysmonForLinux
    返回列表 发布新帖

    [用户教程] [安全防护]主机日志记录 SysmonForLinux

    502 1
    发表于 2026-2-10 17:21:26 | 查看全部 阅读模式 IP:–山东–青岛 /百度云加速节点

    马上注册，结交更多好友，享用更多功能，让你轻松玩转社区。

    您需要 登录 才可以下载或查看，没有账号？立即注册

    ×
    #SysmonForLinux Sysmon for Linux 是一款用于监控和记录系统活动的工具，包括进程生命周期、网络连接、文件系统写入等。Sysmon 即使在系统重启后也能正常工作，并利用高级过滤功能来帮助识别恶意活动，以及入侵者和恶意软件如何在您的网络中运行。【https://github.com/microsoft/SysmonForLinux】
    #注：该方法仅记录日志无法进行阻断，同时不建议小白用户对nas后台内容做太大改动

    免责声明：
    本内容（包括但不限于 Sysmon 配置、Linux 命令解释、脚本示例等）仅供合法的、安全研究、教育、红队演练授权测试以及企业内部安全防护之用。
    任何未经明确书面授权的渗透测试、入侵、扫描、攻击或其他非法行为均属违法。
    使用本内容所造成的一切后果（包括但不限于法律责任、财产损失、数据泄露等）由使用者自行承担，与作者/分享者无关。
    请严格遵守《中华人民共和国网络安全法》/《nas厂商相关服务政策》及其他相关法律法规。

    前言：
    看到有小伙伴分享了 安装雷池的教程，我也分享一下我的nas防护方案，我的需求有三
    • 寻求一种旁路方案，即使故障对设备影响也不大
    • 经过对nas web流量分析大部分都是有二次加密的，参数值有加密的情况使用waf可能也看不出来
    • 更需要关系主机失陷事件，比如：主动外联，请求ioc地址，执行敏感命令

    这里也列举一下一些主流的防护方案：
    • 安装waf，waf安装在docker中使用串联的方式多加一层nginx拦截流量(优势：监控应用层流量可以阻断攻击者的流量，缺点：串联方案如果出现单点故障相当麻烦)
    • 安装Snort/suricata，直接安装在主机上通过流量镜像可以旁路实现(优势：可以监控全部流量，缺点：部署难度/运维成本高)
    • 安装云锁/Sysmon，直接安装在主机上监控进程信息和进程外联信息(奇安信云锁是付费的个人搞不了 之前长亭有个牧云不知道还为维护不维护了，也就Sysmon是微软的官方的免费安全工具后期移植到linux中的 基于eBPF可以在不改变linux原有内核的前提下进行扩展 )

    所以结合我的需求和一些主流防护方案最终选择使用Sysmonforlinux，当然缺点也是有的比如:不支持阻断、运维技术成本高等
    #前提条件：熟悉Linux、熟悉sysmon或熟读微软官方文档【https://learn.microsoft.com/zh-cn/sysinternals/downloads/sysmon】、有计算机安全相关经验，若以上三点都不满足不建议尝试

    一、安装：
    1.查看linux版本 更新对应的软件包，修复缺失的软件包等。。。
    具体命令如下，如果你的系统版本和我不一样可能命令还得改一下
    1. root@nas_linux:/home/user_name# uname -a
    2. Linux nas_linux 6.12.30+ #1 SMP PREEMPT_DYNAMIC Fri Jan 16 12:14:12 UTC 2026 x86_64 GNU/Linux
    3. root@nas_linux:/home/user_name# curl -s https://packages.microsoft.com/keys/microsoft.asc | gpg --dearmor | sudo tee /etc/apt/trusted.gpg.d/microsoft.gpg > /dev/null
    4. root@nas_linux:/home/user_name# echo "deb [arch=amd64] https://packages.microsoft.com/debian/$(lsb_release -rs | cut -d. -f1)/prod $(lsb_release -cs) main" | sudo tee /etc/apt/sources.list.d/microsoft.list
    5. deb [arch=amd64] https://packages.microsoft.com/debian/12/prod bookworm main
    6. root@nas_linux:/home/user_name# apt-get update
    7. Get:1 https://deb.debian.org/debian bookworm InRelease [151 kB]
    8. Get:2 https://deb.debian.org/debian bookworm-updates InRelease [55.4 kB]
    9. Get:3 https://deb.debian.org/debian bookworm-proposed-updates InRelease [60.6 kB]
    复制代码
    2.编写sysmon配置文件
    注：配置文件应该按照自己的实际需求和sysmon记录情况进行更改，我这里提供的只是一个示例实际需要根据情况更改哦，sysmon配置规则文件是一件很麻烦的事情，建议先在虚拟机中配置测试在应用至生产环境。sysmon规则如果配置不当可能会记录大量的日志造成频繁IO，不熟悉Linux系统的小伙伴不建议尝试！！！
    这块我示例里面主要从三块出发：
    • 监测恶意攻击者常用的命令行比如curl、wget、nc、python，一般恶意攻击者会使用这些命令拉取恶意文件或进行反弹shell
    • so、sh文件落地
    • 进程外联

    当然nas正常工作也可能会触发这些规则，这就是后续不断需要规则运维的部分了

    1. root@nas_linux:/home/user_name# mkdir -p /home/user_name/sysmon
    2. root@nas_linux:/home/user_name# cd /home/user_name/sysmon
    3. root@nas_linux:/home/user_name/sysmon# cat > sysmon-nas-config.xml << 'EOF'
    4. <Sysmon schemaversion="4.90">
    5.   <EventFiltering>
    6.     <!-- Event ID 1: ProcessCreate -->

    8.     <RuleGroup groupRelation="or">
    9.       <ProcessCreate onmatch="exclude">
    10.         <CurrentDirectory condition="is">/ql</CurrentDirectory>
    11.         <CommandLine condition="contains">/proc/uptime</CommandLine>
    12.         <CommandLine condition="contains">/etc/os-release</CommandLine>
    13.         <CommandLine condition="contains">/sys/class/net/eth</CommandLine>
    14.         <CommandLine condition="contains">/ug_sys_info_log</CommandLine>
    15.         <CommandLine condition="contains">/build_version</CommandLine>
    16.         <CommandLine condition="contains">/resolv.conf.dhclient</CommandLine>
    17.         <CommandLine condition="contains">/usr/sbin/update-rc.d</CommandLine>
    18.         <CommandLine condition="contains">/usr/bin/crudini</CommandLine>
    19.         <CommandLine condition="contains">DBUS_SESSION_ADDRESS_ROOT</CommandLine>
    20.         <CommandLine condition="contains">/proc/mounts</CommandLine>
    21.         <CommandLine condition="contains">/devices/virtual/block/md</CommandLine>
    22.         <CommandLine condition="contains">/eth0/device/vendor</CommandLine>
    23.       </ProcessCreate>

    25.       <ProcessCreate onmatch="include">
    26.         <CommandLine condition="contains">curl</CommandLine><!--监测恶意攻击者常用命令 -->
    27.         <CommandLine condition="contains">wget</CommandLine>
    28.         <CommandLine condition="contains">nc -z</CommandLine>
    29.         <CommandLine condition="contains">ncat</CommandLine>
    30.         <CommandLine condition="contains">netcat</CommandLine>
    31.         <CommandLine condition="contains">cat </CommandLine>
    32.         <CommandLine condition="contains">python</CommandLine>
    33.         <CommandLine condition="contains">perl</CommandLine>
    34.       </ProcessCreate>
    35.     </RuleGroup>


    38.     <!-- Event ID 11: FileCreate -->
    39.     <RuleGroup groupRelation="or">
    40.       <FileCreate onmatch="include">
    41.         <TargetFilename condition="end with">.sh</TargetFilename><!--监测恶意攻击者常用文件落地-->
    42.         <TargetFilename condition="end with">.so</TargetFilename>
    43.       </FileCreate>
    44.     </RuleGroup>

    46.     <!-- Event ID 3: NetworkConnect - 重点监控 -->
    47.     <RuleGroup groupRelation="or">
    48.       <NetworkConnect onmatch="exclude">
    49.         <!-- 只记录公网连接 -->
    50.         <SourceIp condition="is">127.0.0.1</SourceIp><!--进程外联行为-->
    51.         <SourceIp condition="is">0.0.0.0</SourceIp>
    52.         <DestinationIp condition="is">127.0.0.1</DestinationIp>
    53.         <DestinationIp condition="is">::1</DestinationIp>
    54.         <DestinationIp condition="begin with">192.168.</DestinationIp>
    55.         <DestinationIp condition="begin with">10.</DestinationIp>
    56.         <DestinationIp condition="begin with">172.16.</DestinationIp>
    57.         <DestinationIp condition="begin with">172.17.</DestinationIp>
    58.         <DestinationIp condition="begin with">172.18.</DestinationIp>
    59.         <DestinationIp condition="begin with">172.19.</DestinationIp>
    60.         <DestinationIp condition="begin with">172.20.</DestinationIp>
    61.         <DestinationIp condition="begin with">172.21.</DestinationIp>
    62.         <DestinationIp condition="begin with">172.22.</DestinationIp>
    63.         <DestinationIp condition="begin with">172.23.</DestinationIp>
    64.         <DestinationIp condition="begin with">172.24.</DestinationIp>
    65.         <DestinationIp condition="begin with">172.25.</DestinationIp>
    66.         <DestinationIp condition="begin with">172.26.</DestinationIp>
    67.         <DestinationIp condition="begin with">172.27.</DestinationIp>
    68.         <DestinationIp condition="begin with">172.28.</DestinationIp>
    69.         <DestinationIp condition="begin with">172.29.</DestinationIp>
    70.         <DestinationIp condition="begin with">172.30.</DestinationIp>
    71.         <DestinationIp condition="begin with">172.31.</DestinationIp>
    72.         <DestinationIp condition="is">::</DestinationIp>
    73.         <DestinationIp condition="is">255.255.255.255</DestinationIp>
    74.         <DestinationIp condition="is">0:0:0:0:0:0:0:0</DestinationIp>
    75.         <DestinationIp condition="is">0.0.0.0</DestinationIp>
    76.         <DestinationPort condition="is">0</DestinationPort>
    77.         <Protocol condition="is">udp</Protocol>
    78.         <SourceIp condition="begin with">172.17.0.</SourceIp>
    79.         <Image condition="contains">docker-proxy</Image>
    80.         <Image condition="contains">_serv</Image>
    81.         <Image condition="contains">nginx</Image>
    82.         <Image condition="contains">qbittorrent</Image>
    83.         <Image condition="contains">syncspace</Image>
    84.         <Image condition="contains">qinglong</Image>
    85.         <Image condition="contains">siyuan</Image>
    86.         <DestinationIp condition="begin with">119.23.87.190</DestinationIp> <!--ugnas.com-->
    87.         <DestinationIp condition="begin with">113.48.224.84</DestinationIp> <!--ug.link-->
    88.       </NetworkConnect>
    89.     </RuleGroup>

    91.   </EventFiltering>
    92. </Sysmon>
    93. EOF
    复制代码
    二、使用：
    1.创建服务开机自启
    1. root@nas_linux:/etc/sysmon# tee /etc/systemd/system/sysmon.service << 'EOF'
    2. [Unit]
    3. Description=Sysmon for Linux
    4. After=network.target

    6. [Service]
    7. Type=simple
    8. ExecStart=sysmon -c /home/user_name/sysmon/sysmon-nas-config.xml
    9. ExecReload=/bin/kill -HUP $MAINPID
    10. KillMode=process
    11. Restart=on-failure
    12. RestartPreventExitStatus=255
    13. SyslogIdentifier=sysmon

    15. [Install]
    16. WantedBy=multi-user.target
    17. EOF

    19. root@nas_linux:/etc/sysmon# systemctl daemon-reload
    20. root@nas_linux:/etc/sysmon# systemctl start sysmon
    21. root@nas_linux:/etc/sysmon# systemctl enable sysmon
    22. root@nas_linux:/etc/sysmon# systemctl status sysmon
    23. ● sysmon.service - Sysmon for Linux
    24.      Loaded: loaded (/etc/systemd/system/sysmon.service; enabled; preset: enabled)
    25.      Active: active (running) since Thu 2026-02-05 21:54:11 CST; 1min 32s ago
    26.    Main PID: 264932 (sysmon)
    27.       Tasks: 1 (limit: 28407)
    28.      Memory: 198.2M
    29.         CPU: 2.162s
    30.      CGroup: /system.slice/sysmon.service
    31.              └─264932 /opt/sysmon/sysmon -i /opt/sysmon/config.xml -service
    复制代码
    2.更新配置文件后重载
    这块的更新配置文件就是你根据你实际情况改完规则文件之后需要做的事情
    1. root@nas_linux:/home/user_name# systemctl stop sysmon
    2. root@nas_linux:/home/user_name# sysmon -u

    4. Sysmon v1.5.0 - Monitors system events
    5. Sysinternals - www.sysinternals.com
    6. By Mark Russinovich, Thomas Garnier and Kevin Sheldrake
    7. Copyright (C) 2014-2025 Microsoft Corporation
    8. Licensed under MIT/GPLv2
    9. Using libxml2. libxml2 is Copyright (C) 1998-2012 Daniel Veillard. All Rights Reserved.

    11. Removed "/etc/systemd/system/multi-user.target.wants/sysmon.service".
    12. Sysmon stopped.
    13. root@nas_linux:/home/user_name# sysmon -accepteula -i /home/user_name/sysmon/sysmon-nas-config.xml

    15. Sysmon v1.5.0 - Monitors system events
    16. Sysinternals - www.sysinternals.com
    17. By Mark Russinovich, Thomas Garnier and Kevin Sheldrake
    18. Copyright (C) 2014-2025 Microsoft Corporation
    19. Licensed under MIT/GPLv2
    20. Using libxml2. libxml2 is Copyright (C) 1998-2012 Daniel Veillard. All Rights Reserved.

    22. Loading configuration file with schema version 4.90
    23. Configuration file validated.
    24. Created symlink /etc/systemd/system/multi-user.target.wants/sysmon.service → /etc/systemd/system/sysmon.service.
    25. root@nas_linux:/home/user_name# systemctl start  sysmon
    26. root@nas_linux:/home/user_name# sysmon -c

    28. Sysmon v1.5.0 - Monitors system events
    29. Sysinternals - www.sysinternals.com
    30. By Mark Russinovich, Thomas Garnier and Kevin Sheldrake
    31. Copyright (C) 2014-2025 Microsoft Corporation
    32. Licensed under MIT/GPLv2
    33. Using libxml2. libxml2 is Copyright (C) 1998-2012 Daniel Veillard. All Rights Reserved.


    36. Rule configuration (version 4.90):
    37. - ProcessCreate                      onmatch: exclude   combine rules using 'Or'
    38. .
    39. .
    40. .
    复制代码
    三、验证效果：
    tail -n 100 /var/log/syslog
    成功发现主机外联行为并定位的外联进程


                                   
    登录/注册后可看大图

    image.png
    回复

    举报

    评论1

    playokLv.4 发表于 2026-2-11 07:34:57 | 查看全部 IP:–湖南
    大佬牛哇
    回复 点赞

    举报

    返回列表 发布新帖

    评论
    高级模式
    B Color Image Link Quote Code Smilies
    您需要登录后才可以回帖 登录 | 立即注册

    本版积分规则

    绿联官网 产品中心 社区公约 隐私政策 侵权投诉指引 用户协议
    Copyright © 2026 绿联NAS私有云社区 版权所有 All Rights Reserved. 粤公网安备44030002002555号| 粤ICP备12028978号
    关灯 在本版发帖
    联系技术支持
     返回顶部
    快速回复 返回顶部 返回列表