Sysmon’un Windows 11’de varsayılan olarak gönderilmesi uzun süredir devam eden bir boşluğu kapattı: İşletim sistemi artık herhangi bir üçüncü taraf kurulumu olmadan işlem oluşturma, ağ bağlantıları, kayıt defteri düzenlemeleri, dosya sistemi değişiklikleri ve DLL yüklemeleri için yapılandırılmış olay kayıtları yazıyor. Task Manager bir on yıldır “bilgisayarım ne yapıyor” sorusunun cevabı olmaktan çıktı, ancak Sysmon’un paketlenmesi yalnızca güvenlik ekipleri için değil herkese ait temel durumu değiştiriyor. Windows 11 üzerinde sysadmin’in günlük araç rafını yeniden oluşturduk ve korunmaya değer yedi olay günlüğü analiz uygulamasını sıraladık, her birinin Event Viewer tek başına kaçırdığı şeyi ifşa ettiğini değerlendirerek.
Liste, Microsoft tarafından bakımlanan Sysinternals yardımcıları (ücretsiz, kurulum gerekmez), yeniden tasarlanmış bir yerleşik araç ve ham günlükleri alıp sorgulanabilir bir yere gönderen üç olay yönlendirme aracısını birleştiriyor.
Windows olay günlüğü analiz uygulamasında ne arayacağınız
Bir olayı gerçekten araştırmaya çalışana kadar kategori tek tip görünüyor. Beş ölçüt, aşağıdaki seçimleri kullanılmayan freeware’den dolu bir defterleri ayırıyor:
- Yakalama derinliği. İşlem ağacı, komut satırı, üst PID, dosya karması, ağ bitiş noktası. Yakalama ne kadar derin olursa, senaryoyu yeniden oluşturmaya o kadar az ihtiyaç duyarsınız.
- Filtrelenebilirlik. Gerçek sistemler saatte 50.000 olay oluştururlar. Uygulama, yalnızca bir arama kutusu değil, gerçek bir iş yükünde ayakta kalabilen bir filtre diline ihtiyaç duyuyor.
- Canlı vs. tarihi. Bazı araçlar sistemde canlı oturur ve akış sağlar. Diğerleri olay sonrasında .evtx dosyalarını okur. Çoğu araştırma her ikisine de ihtiyaç duyar.
- Yönlendirme. Günlükler yalnızca makineyi terk ettiğinde önemli hale gelir. Bir SIEM’e veya kendi kendine barındırılan bir depoya yönlendirme, özel bir betik değil bir yapılandırma olmalıdır.
- Performans maliyeti. Derin seviyelerde olay yakalama bir CPU çekirdeğini sabitleyebilir. İyi araçlar yeniden derlemeden gürültü tabanını ayarlamanıza izin veriyor.
Hızlı karşılaştırma
| App | Best for | Bundle | Free | Live capture |
|---|---|---|---|---|
| Sysinternals Sysmon | Deep, structured event records | Bundled in Windows 11 | Yes | Yes |
| Sysinternals Process Monitor | Real-time file, registry, network | Sysinternals Suite | Yes | Yes |
| Sysinternals Process Explorer | Process tree drill-down | Sysinternals Suite | Yes | Yes |
| Windows Event Viewer | Built-in baseline | Windows | Yes | Live and historical |
| NXLog Community Edition | Free log forwarding | Standalone | Yes | Yes |
| Snare Open Source Agent | Event log forwarding to Syslog | Standalone | Yes | Yes |
| EventSentry Light | Free SIEM-lite for small networks | Standalone | Free tier | Yes |
Windows olay günlüğü analiz için 7 en iyi uygulama
1. Sysinternals Sysmon, derin yapılandırılmış olay kayıtları için en iyi
Sysinternals Sysmon bir Windows hizmeti olarak çalışır ve Microsoft-Windows-Sysmon/Operational kanalına ayrıntılı olay kayıtları yazar. Kayıtlar tam komut satırını, ana işlemi, görüntü karmasını, yüklü DLL’leri, hedefe sahip ağ bağlantılarını ve adlandırılmış kanal oluşturmayı içerir. XML yapılandırma dosyası öldürücü özelliktir: dikkatle seçilmiş bir yapılandırma (SwiftOnSecurity referans yapılandırması topluluk standardı), bir sunucu veya iş istasyonunda gerçekten önemli olan olaylara gürültüyü azaltır. Sysmon artık Windows 11’de paketlenmiş olduğu için, yeni makineler için kurulum adımı gitmiştir.
Nerede kötü kaldığında: Yapılandırma tüm üründür. Kötü bir yapılandırma Sysmon’u işe yaramaz hale getirir veya kanalı seler. Windows’a paketlenmiş sürüm, bağımsız indirmeden bir sürüm tarafından gecikebilir.
Fiyatlandırma:
- Ücretsiz: evet
- Ücretli: hayır
Platformlar: Windows 11 (yerleşik), Windows 10, Windows Server
İndir: learn.microsoft.com/sysinternals/downloads/sysmon
Sonuç: Windows makinesinin gerçekten ne yaptığını araştıran herhangi biri için varsayılan seçim. SwiftOnSecurity’nin yapılandırması gibi bakımlı bir yapılandırmayla eşleştirin.
2. Sysinternals Process Monitor, en iyi gerçek zamanlı dosya ve kayıt defteri izlemesi
Sysinternals Process Monitor (Procmon), açıklayamadığınız bir şey yapan bir programa açtığınız canlı izleme aracıdır. Her dosya sistemi çağrısını, kayıt defteri erişimini, ağ bitiş noktasını ve işlem olayını alt milisaniye zaman damgasıyla yakalar, ardından ortaya çıkan akışı işlem, yol, işlem veya sonuç tarafından filtrelemenizi sağlar. “İşlem ağacı” görünümü izleme sırasında ana-alt ilişkilerini gösterir ve “yığın” görünümü çağrıyı yapan çağrı sitesini ortaya çıkarır. PML olarak bir izi kaydetmek, bir meslektaşın bunu başka bir makinede açmasına ve hemen filtrelemeye başlamasına izin verir.
Nerede kötü kaldığında: Procmon agresif olarak yakalar, bu da diski doldurur ve saatler boyunca çalışırsa makineyi yavaşlatır. Filtreleme sezgisel ama pratik gerektirir.
Fiyatlandırma:
- Ücretsiz: evet
- Ücretli: hayır
Platformlar: Windows 11, Windows 10, Windows Server
İndir: learn.microsoft.com/sysinternals/downloads/procmon
Sonuç: “Sysmon başlatmayı gösteriyor ama sonraki şey neden oldu anlayamıyorum” dediğinizde başvurduğunuz araç. Kısa çalıştırın, filtreleyin, kaydedin, çıkın.
3. Sysinternals Process Explorer, işlem ağacı detaylandırması için en iyi
Sysinternals Process Explorer, yirmi yıldan fazla süredir Sysinternals Suite’te gönderilen Task Manager’ın yerine geçme aracıdır. İşlem ağacı görünümü Task Manager’ın gizlediği ana-alt zincirini gösterir, işlem başına G/Ç ve ağ çubukları meşgul bir makineyi gerçekten ne doyuruyor onu gösterir ve “Handle veya DLL Bul” araması silebileceğiniz açık bir dosyayı hangi işlemin tuttuğunu öğrenmenin standart yoludur. Karışlar üzerinde imzalı VirusTotal araması, uygulamayı çıkmadan bilinmeyen ikili dosyaları işaretler.
Nerede kötü kaldığında: Görsel yoğunluk uyum gerektiriyor. Bazı sysadmin işlemleri (korumalı işlemleri zorla sonlandırma) yine de yönetici yükseltilmesi gerektirir.
Fiyatlandırma:
- Ücretsiz: evet
- Ücretli: hayır
Platformlar: Windows 11, Windows 10, Windows Server
İndir: learn.microsoft.com/sysinternals/downloads/process-explorer
Sonuç: Her Windows yöneticisinin makinesinde olması gereken ücretsiz Task Manager yükseltmesi. Task Manager’ı değiştirmek için yapılandırın ve değiştirdiğinizi unutun.
4. Windows Event Viewer, en iyi yerleşik temel
Windows Event Viewer, bu listedeki diğer tüm araçların okuduğu veya yazdığı yerleşik uygulamadır. Özel Görünümler özelliği, sorguları olay kimliği, kaynak veya XPath tarafından sabitlemenize izin verir ve Abonelikler özelliği, uzak makinelerden bir yerel toplayıcı kanalına SIEM için ödeme yapmadan olaylar çeker. Son Windows 11 güncellemelerinde yeniden tasarlanan Settings uygulaması entegrasyonu, kanal adlarını hatırlamaya gerek olmadan ortak sorgular (son çökmeler, uygulama yükleme olayları) görüntüler.
Nerede kötü kaldığında: UI hala Windows Vista’dan beri çekirdekte aynı MMC konsoludur ve karmaşık XPath filtreleri XML’de düzenlenmeyi gerektirir. Sorgu kaydetme makine başınadır, hiç dışa aktarma yoktur.
Fiyatlandırma:
- Ücretsiz: evet
- Ücretli: hayır
Platformlar: Windows 11, Windows 10, Windows Server
İndir: Zaten kurulu; Başlat menüsüne “Event Viewer” yazın
Sonuç: Herhangi bir olay araması için ilk yer. Bir sorgu tekrarlanan hale gelirse, aşağıdaki adanmış araçlardan birine itin.
5. NXLog Community Edition, en iyi ücretsiz günlük yönlendirmesi
NXLog Community Edition, NXLog günlük yönetimi yığınının ücretsiz, açık çekirdeğidir. Windows olay günlüklerini (Sysmon dahil), Linux syslog’u, düz dosyaları ve özel uygulama kaynaklarını okur, ardından syslog, dosya, Kafka, Elasticsearch veya herhangi bir HTTP bitiş noktasına iletir. Yapılandırma dili basit ve iyi belgelenmiştir ve CE ikili dosyaları Windows, Linux ve birkaç BSD’yi kapsar. Topluluklar, Windows olaylarını bir Elastic veya kendi kendine barındırılan SIEM’e göndermek için NXLog CE’yi seçim aracısı olarak standartlaştırır.
Nerede kötü kaldığında: Bazı gelişmiş çıktı modülleri (S3, Azure Sentinel direkt) Enterprise katmanı için ayrılmıştır. Windows CE yükleyicisi ilk kez kullanıcılar için belgelendirmede azgelişmiştir.
Fiyatlandırma:
- Ücretsiz: evet Community Edition için
- Ücretli: İstek üzerine Enterprise fiyatlandırması
Platformlar: Windows, Linux, BSD
İndir: nxlog.co/products/nxlog-community-edition
Sonuç: Hedef “Windows olaylarını sorgulanabilir bir yere SIEM başına olay ücreti olmadan göndermek” olduğunda varsayılan aracı.
6. Snare Open Source Agent, en iyi Windows-to-Syslog yönlendiricisi
Snare Open Source Agent, Event Log kayıtlarını uzak toplayıcıya yönlendirme için Syslog iletilerine dönüştüren uzun süredir devam eden Windows aracısıdır. NXLog üzerindeki avantaj basitliktir: aracı bir şey yapar, yapılandırma UI tek bir iletişim kutusu ve çıktı her SIEM’in zaten nasıl ayrıştırılacağını bildiği biçimdir. Open Source Snare çoğu yüklemeyi kapsar; Enterprise sürümü TLS, dinamik filtreleme ve AD tümleştirmesi ekler.
Nerede kötü kaldığında: Windows olmayan kaynakları okumak veya iletileri dönüştürmek istiyorsanız NXLog’dan daha az esnek. Belgeler Enterprise SKU’ya meyillidir.
Fiyatlandırma:
- Ücretsiz: evet Open Source aracı için
- Ücretli: İstek üzerine Enterprise fiyatlandırması
Platformlar: Windows
İndir: github.com/snareopensource/SnareAgent
Sonuç: Hedef toplayıcı Syslog konuştuğunda ve hedef EVTX’den bu toplayıcıya en kısa yol olduğunda seçim.
7. EventSentry Light, küçük ağlar için en iyi ücretsiz SIEM-lite
EventSentry Light, küçük ağlar için izleme özelliklerinin çoğunu erişime getirmek için tasarlanan EventSentry ürününün ücretsiz katmanıdır. Gerçek zamanlı olay günlüğü izleme, dosya bütünlüğü denetimleri, performans sayaçları ve bir web panosunu tek bir yükleyiciye paketler ve izlenen makine sayısı üzerinde ücretsiz bir sınır içerir. Bir homelab veya tek sunucu ofisi için, daha ağır bir SIEM’in yapacağı kullanım durumlarını kurulum zamanının bir kısmı ile kapsar.
Nerede kötü kaldığında: Ücretsiz katman, kaç uç noktayı izleyebileceğinizi sınırlar. Tam özellik yüzeyi (uyum raporları, gelişmiş uyarılar) ücretli katman için ayrılmıştır.
Fiyatlandırma:
- Ücretsiz: EventSentry Light, izlenen uç nokta sınırı uygulanır
- Ücretli: EventSentry Full ve Premium katmanları, uç nokta başına fiyatlandırması
Platformlar: Windows Server toplayıcı, Windows, Linux ve SNMP cihazlar için aracılar
İndir: eventsentry.com/light
Sonuç: “Event Viewer plus Excel” ile “bir SIEM alın” arasındaki orta yol. Küçük ofis veya ciddi homelab için doğru boyutlandırılmış.
Doğruyu nasıl seçersiniz
- Windows Event Viewer ile başlayın çünkü zaten yüklüdür. Önem verdiğiniz kanal için Özel Bir Görünüm sabitleyin.
- Yönettiğiniz her makinede Sysinternals Sysmon ekleyin. Gürültü tabanı yönetilebilir kalması için bakımlı bir referans yapılandırmasıyla eşleştirin.
- Process Monitor ve Process Explorer’ı araç klasöründe tutun. “Sysmon X oldu, ama neden” dediğinizde bunlar doğru cevaploydır.
- NXLog Community Edition seçin sonraki adım olayları bir Elastic veya kendi kendine barındırılan depoya göndermek ise.
- Snare Open Source Agent seçin toplayıcı Syslog istiyorsa ve bir yapılandırma dili değil, bir yapılandırma iletişim kutusu istiyorsanız.
- EventSentry Light seçin küçük bir pano, uyarılar ve kurumsal fiyatlandırmayı ödemeden dosya bütünlüğü izlemesi istiyorsanız.
FAQ
Sysmon gerçekten şimdi Windows 11’de yerleşik mi?
Windows 11 güncel kanallar Sysmon’u paketlenmiş bir ikili olarak içerir, ayrı indirme gerekmez. Yapılandırma yine de yönetici sorumluluğudur; yapılandırma olmadan Sysmon minimal olaylar yazar. Değeri almak için paketlenmiş ikiliyi bakımlı bir referans yapılandırmasıyla eşleştirin.
Sysmon’u kullanmak için bir SIEM’e ihtiyacım var mı?
Hayır. Sysmon, başka herhangi bir kaynak gibi Windows olay günlüğüne yazar ve tek bir makinede kayıtları okumak için Event Viewer tek başına yeterlidir. Birkaçtan fazla makineniz olduğunda ve hepsinde sorgu yapmak istediğinizde SIEM veya NXLog gibi bir ileti aracısı faydalı olur.
Process Explorer ile Process Monitor arasında fark nedir?
Process Explorer, canlı işlem durumunu, ana-alt ağacını ve işlem başına kaynak kullanımını gösteren Task Manager’ın yerine geçme aracıdır. Process Monitor, bir izleme penceresinde her dosya, kayıt defteri ve ağ işlemini kaydeden izleme aracıdır. “Ne çalışıyor” için Process Explorer kullanın; “şu anda ne yapıyor” için Process Monitor kullanın.
Sysmon Microsoft Defender for Endpoint’in bir parçası mı?
Microsoft Defender for Endpoint aynı temel sinyallerin çoğunu kullanır, ancak ayrı bir ücretli üründür. Sysmon, Sysinternals ekibinin Defender for Endpoint aboneliği olmadan herhangi bir Windows makinesinde dağıtabileceği ücretsiz bir araçtır.
Windows olay günlüklerini Linux SIEM’e yönlendirebilir miyim?
Evet. NXLog Community Edition, Snare Open Source ve Microsoft’un resmi Winlogbeat aracısı, Windows olaylarını Syslog veya JSON olarak Linux toplayıcısına iletir. Çoğu ELK ve Graylog yüklemeleri bu biçimi doğrudan kabul eder.
