Microsoftมีเครื่องมือที่มีประโยชน์มากมายสำหรับผู้ใช้ปลายทางที่สามารถใช้ปรับแต่ง เล่น แก้ไขปัญหา วินิจฉัย รักษาความปลอดภัย หรือทำอะไรก็ได้กับระบบปฏิบัติการWindows Sysinternals System Monitor (Sysmon)เป็นเครื่องมือที่เพิ่งเปิดตัวใหม่ซึ่งออกแบบมาสำหรับ คอมพิวเตอร์ที่ใช้ Windowsซึ่งรวบรวมไฟล์บันทึกของระบบทั้งหมด ไฟล์บันทึกเหล่านี้มีความสำคัญและจำเป็นอย่างยิ่งต่อการทำความเข้าใจปัญหาที่เกี่ยวข้องกับWindows เมื่อติดตั้งแล้ว Sysmon^(Sysmon)จะยังคงทำงานในพื้นหลังแบบอยู่เฉยๆ และสามารถฟื้นคืนชีพได้เมื่อจำเป็น

Sysmon System Monitor สำหรับ Windows

เวิร์กโฟลว์พื้นฐานที่อยู่เบื้องหลังSystem Monitorคือการเก็บข้อมูลจากWindows Event Collection ( Event Viewer ) และSecurity Information and Event Management ( SIEM ) agent เช่น process IDs , GUID^(GUIDs) , SHA1 , MD5 ( SHA256 ) hash logs มันเก็บไฟล์เหล่านี้ทั้งหมด ไว้ในโฟลเดอร์ Applications and Services\logs\Microsoft\Windows\Sysmon\operationalในWindows 10/8/7/Vistaและภายใต้System event log ในระบบปฏิบัติการ ^{( System event log)}Windows  รุ่นเก่าเช่นWindows XP.

วิธีการติดตั้งการตรวจสอบระบบ
^{(How to install System Monitor)}

• ดาวน์โหลด Sysmon [^{(Download Sysmon [)}ลิงค์ดาวน์โหลดด้านล่าง]
• ไฟล์ที่ดาวน์โหลดมาจะอยู่ในรูปแบบ zip แตกไฟล์โดยใช้ตัวแยกไฟล์เริ่มต้นของ windows หรือลองWinrar , 7zip เป็นต้น
• เมื่อไฟล์ถูกคลายซิปแล้ว ให้รัน"Sysmon"ยอมรับ EULA แล้วกด Next
• รอ^(Wait)ให้System , Monitorทำการติดตั้งให้เสร็จ เท่านั้น!

วิธีใช้ Sysmon^{(How to use Sysmon)}

บรรทัดคำสั่งใน sysmon สามารถใช้เพื่อติดตั้ง ถอนการติดตั้ง ตรวจสอบ และปรับแต่งการกำหนดค่าของ System Monitor:

Install:    Sysmon.exe -i [-h [sha1|md5|sha256]] [-n]

Configure:  Sysmon.exe -c [[-h [sha1|md5|sha256]] [-n]|--]

Uninstall:  Sysmon.exe –u

คำสั่งบางอย่างที่ผู้ใช้ต้องเข้าใจคือ:^{(Few commands that user need to understand are:)}

– i:ติดตั้งโปรแกรมบริการและไดรเวอร์

-n : เก็บบันทึกการเชื่อมต่อเครือข่าย

-u : ถอนการติดตั้งโปรแกรมบริการและไดรเวอร์

-c : มันอัพเดตไดรเวอร์ sysmon ที่ติดตั้งบนคอมพิวเตอร์หรือช่วยในการถ่ายโอนข้อมูลการตั้งค่าปัจจุบันที่มีอยู่

-h : ระบุอัลกอริทึมที่ใช้กับโปรแกรม [โดยค่าเริ่มต้น จะใช้ SHA1 ]

ตัวอย่าง:^(Examples:)

• วิธีติดตั้งแอปพลิเคชันด้วยการตั้งค่าเริ่มต้น: “ sysmon -i accepteula ”โดยไม่มีเครื่องหมายอัญประกาศ [ค่าเริ่มต้น SHA1]
• ในการติดตั้งแอปพลิเคชันด้วยการตั้งค่า MD5 [SHA256]: “ sysmon -i accepteula –h md5 -n ”  
• ถอนการติดตั้ง“ sysmon -u ”

System Monitorเก็บเหตุการณ์เช่นEvent IDsเป็น

• รหัสเหตุการณ์ 1^{(Event ID 1)} : ใช้สำหรับการสร้างกระบวนการ
• รหัสเหตุการณ์ 2^{(Event ID 2)} : กระบวนการ^(Process)เปลี่ยนเวลาสร้างไฟล์ด้วยการประทับเวลาและ
• รหัสเหตุการณ์ 3^{(Event ID 3)} : สำหรับการเชื่อมต่อเครือข่าย

เครื่องมือจะทำงานต่อไปในพื้นหลังและจะเขียนบันทึกเหตุการณ์ทั้งหมดลงในโฟลเดอร์ หลังจากติดตั้งหรือถอนการติดตั้งระบบไม่จำเป็นต้องรีบูตทั้งหมด

เป็นเครื่องมือที่จำเป็นสำหรับคอมพิวเตอร์ทุกเครื่องที่ทำงานบนWindows ไปคว้า เครื่องมือ ตรวจสอบระบบ^{(System Monitor)}จากhere!

อัป^(UPDATE) เดต : Windows Sysinternalsตอนนี้ Sysmon ยังบันทึกกิจกรรมของกระบวนการลงใน บันทึกเหตุการณ์ของ Windowsเพื่อใช้งานโดยการตรวจจับเหตุการณ์และการวิเคราะห์ทางนิติวิทยาศาสตร์ รวมถึงการโหลดไดรเวอร์และเหตุการณ์การโหลดรูปภาพพร้อมข้อมูลลายเซ็น การรายงานอัลกอริธึมการแฮชที่กำหนดค่าได้ ตัวกรองที่ยืดหยุ่นสำหรับการรวมและไม่รวมเหตุการณ์ และการสนับสนุน สำหรับการจัดหาการกำหนดค่าผ่านไฟล์การกำหนดค่าแทนบรรทัดคำสั่ง นอกจากนี้ยังได้รับการตรวจจับการปลอมแปลงกระบวนการมัลแวร์

Sysinternals Sysmon system monitor for Windows

Microsoft offers а plethora of useful tоolѕ for end-users that can be used to tweak, play, troubleshоot, diagnose, secure, or do anуthing with the Windowѕ operating system. Sysinternals System Monitor (Sysmon), is one such newly released tool designed for Windows-based computer which collects all system log files. These log files are very important and crucial to understand issues pertaining to Windows. Sysmon once installed keeps running in the background as dormant and can be brought back to life when required.

Sysmon System Monitor for Windows

The basic workflow behind System Monitor is that it stores information from Windows Event Collection (Event Viewer) and Security Information and Event Management (SIEM) agents like process IDs, GUIDs, SHA1, MD5 (SHA256) hash logs. It stores all these files under Applications and Services\logs\Microsoft\Windows\Sysmon\operational folder in Windows 10/8/7/Vista, and under System event log in older Windows operating systems like Windows XP.

How to install System Monitor

• Download Sysmon [download link provided below]
• The downloaded file will be in zip format. Unzip the file using windows default file extractor or try Winrar, 7zip etc.
• Once the file is unzipped, run “Sysmon” accept the EULA and hit Next.
• Wait for System, Monitor to complete installation, that’s all!

How to use Sysmon

The command line in sysmon can be used to install, uninstall, check and to tweak System Monitor’s configuration:

Install:    Sysmon.exe -i [-h [sha1|md5|sha256]] [-n]

Configure:  Sysmon.exe -c [[-h [sha1|md5|sha256]] [-n]|--]

Uninstall:  Sysmon.exe –u

Few commands that user need to understand are:

–i: install service and driver programs

-n: stores network connection logs

-u: uninstall service and driver programs

-c: it updates the installed sysmon driver on the computer or helps to dump current configuration  settings available

-h: It specifies the algorithm applied to the program [by default SHA1 is applied]

Examples:

• To install the application with default settings: “sysmon -i accepteula” without quotes [SHA1 default]
• To install the application with MD5 [SHA256] settings: “sysmon -i accepteula –h md5 -n”  
• To uninstall “sysmon -u”

System Monitor stores events like Event IDs as,

• Event ID 1: Used for Process Creation,
• Event ID 2: A Process changed a file creation time with timestamp and
• Event ID 3: For Network Connection.

The tool will keep running in the background and will write all event logs into a folder. After install or uninstall a system reboot is not all required.

It is a must-have tool for all computers running on Windows. Go grab the System Monitor tool from here!

UPDATE: Windows Sysinternals Sysmon now also records process activity to the Windows event log for use by incident detection and forensic analysis, includes driver load and image load events with signature information, configurable hashing algorithm reporting, flexible filters for including and excluding events, and support for supplying configuration via a configuration file instead of the command line. It also gets malware process tampering detection.

Related posts

• ทางกายภาพ Memory Limits ในไฟล์ Crash Dump สำหรับ Windows 10

• วิธีใช้ SysInternals Process Explorer tool สำหรับ Windows 10

• กระบวนการ Manager ช่วยให้คุณวัด computer reboot ครั้งและอื่น ๆ

• RAMMap เป็น memory usage analysis utility จาก Sysinternals

• แชร์ไฟล์กับทุกคนที่มี Send Anywhere สำหรับ Windows PC

• วิธีการตรึงแอใด ๆ ที่จะ Taskbar ใน Windows 11

• Fix Windows Update error 0x8e5e03fa บน Windows 10

• แก้ไข, Add, Remove รายการจาก New Context Menu ใน Windows 10

• PPS file คืออะไร วิธีการแปลง PPS เป็น PDF ใน Windows 11/10?

• Microsoft Intune ไม่ซิงค์? Force Intune เพื่อซิงค์ใน Windows 11/10

• Best ฟรี Timetable software สำหรับ Windows 11/10

• เปิดใช้งาน Network Connections ในขณะที่อยู่ใน Modern Standby บน Windows 10

• เปิดไฟล์ได้อย่างง่ายดายด้วย MyLauncher สำหรับคอมพิวเตอร์ Windows 10

• Windows ไม่สามารถค้นหาการติดตั้งไฟล์ติดตั้งได้

• วิธีปิดใช้งานคลาสเก็บข้อมูลที่ถอดออกได้และการเข้าถึงใน Windows 10

• การตั้งค่าการซิงค์ Windows 10 ไม่ทำงาน Greyed Out

• วิธีใช้เครื่องมือในตัว Charmap and Eudcedit Windows 10

• วิธีการสำรองข้อมูล Move หรือ Delete PageFile.sys เมื่อปิดเครื่องใน Windows 10

• วิธีการเพิ่ม Group Policy Editor เพื่อ Windows 10 Home Edition

• วิธีการแสดง Details pane ใน File Explorer ใน Windows 10