Microsoft Sysmon のインストール

一部の Tenable Identity Exposure の攻撃インジケーター (IoA) では、Microsoft System Monitor (Sysmon) サービスをアクティブにする必要があります。

Sysmon は、システムアクティビティを監視し、Windows イベントログに記録することで、Event Tracing for Windows (ETW) インフラでよりセキュリティ指向の情報を提供します。

なぜなら、他の Windows サービスやドライバーをインストールすると、AD インフラをホスティングしているドメインコントローラーのパフォーマンスに影響が出る場合があるからです。Tenable が自動的に Microsoft Sysmon を導入することはありません。手動で、または専用の GPO を使用してインストールする必要があります。

次の IoA は、Microsoft Sysmon が必要です。

名前

理由

OS 認証情報のダンプ: LSASS メモリ

プロセスインジェクションの検出

注意: Sysmon をインストールする場合、必要なイベントをすべて収集するには、PDC だけでなく、すべてのドメインコントローラーにインストールする必要があります。
注意: Tenable Identity Exposure を完全にデプロイする前に、Sysmon インストールの互換性をテストしてください。
ヒント: 潜在的な脆弱性に対処するパッチを利用するために、インストール後も Sysmon を定期的に更新するようにしてください。Tenable Identity Exposure と互換性のある最も古いバージョンは Sysmon 12.0 です。