微软轻量级系统监控工具sysmon原理与实现完全分析（上篇）
逆向工程
Sysmon
系统安全
 Sysmon是微软的一款轻量级的系统监控工具，经常有安全人员使用这款工具去记录并分析系统进程的活动来识别恶意或者异常活动。本文讨论不是如何去使用该工具，而是讲解该软件的原理与实现。
安全客 浪子_三少 2018-08-17 10:00:06
447435次阅读
微软轻量级系统监控工具sysmon原理与实现完全分析（下篇）
逆向工程
Sysmon
系统安全
上文讲解了sysmon的ring3部分实现原理，本文则开始讲解ring0部分。Sysmon的ring0是一个minifilter类型的驱动，内部实现了进程信息、文件访问信息以及注册表访问信息的记录，下面开始具体讲解它的实现流程。
安全客 浪子_三少 2018-09-16 10:00:48
196095次阅读
微软轻量级系统监控工具sysmon原理与实现完全分析（续篇）
Sysmon
前两次我们分别讲了sysmon的ring3与ring0的实现原理，但是当初使用的版本的是8.X的版本，最新的版本10.X的sysmon功能有所增加，经过分析代码上也有变化。
安全客 浪子_三少 2020-09-25 14:30:57
198306次阅读
微软轻量级系统监控工具sysmon原理与实现完全分析——ProcessGuid的生成
Windows
Sysmon
系统安全
Sysmon的众多事件看起来都是独立存在的，但是它们确实都是由每个进程的产生的，而关联这些信息的东西正是ProcessGuid，这个对进程是唯一的。
安全客 浪子_三少 2020-11-13 10:00:33
171999次阅读