Windowsの隠れた監視ツール「Sysmon」でPC内部の動きを徹底記録する方法

Oluwademiladeは5年以上の執筆経験を持つテック愛好家です。2022年にMUOチームに加わり、コンシューマーテック、iOS、Android、AI、ハードウェア、ソフトウェア、サイバーセキュリティなど幅広い分野を担当しています。MUO以外にも、HowtoGeek、Cryptoknowmics、TechNerdiness、SlashGearなどで記事を発表しています。

ナイジェリアのイバダン大学医学部で医学学位を取得し、公共サービスにおける功績が認められ、国連関連の学生団体から「グローバル・アクション・アンバサダー」の称号を授与されました(2020年、マレーシア・クアラルンプールにて)。余暇には新しいAIアプリの検証、家族や友人のトラブル解決、プログラミング言語の学習、旅行を楽しんでいます。

PCで何か怪しいことが起きても、ウイルス対策ソフトが検出してくれると思っていませんか?おそらく検出するでしょう——いずれは。しかし、従来のセキュリティソフトが警告を発する頃には、被害はすでに及んでいる可能性があります。もしコンピュータが、内部で起きているすべての出来事——起動するすべてのプロセス、開かれるすべてのネットワーク接続、ファイルの作成タイムスタンプが不審に書き換えられる瞬間——を詳細な記録として残し続けられたらどうでしょうか?

それを実現するのがSysmonです。Microsoft製の無料ツールで、不審な挙動を捉えるための「Windows Sysinternals」ツール群の一つに属します。興味深いのは、スパイウェアやアドウェアを見つけるためのゴールドスタンダードでありながら、日常的にWindowsを使うほとんどの人はその存在すら知らないという点です。

Sysmonがもたらす、標準ログでは得られない可視性

イベントビューアーだけでは物足りなかった

Windowsにはもともとイベントログ機能があり、トラブルシューティングのためにイベントビューアーを開いたことがある人なら、その混沌とした印象に覚えがあるでしょう。ノイズが多く、肝心の明確さが不足しがちです。Sysmon(System Monitorの略)はまったく別物です。インストールすると常駐のシステムサービスおよびデバイスドライバーとして動作し、再起動後も存続しながら、極めて詳細なイベントをWindowsイベントログに書き込みます。その違いは、ぼやけた防犯カメラとナンバープレートまで読み取れるカメラを比較するようなものです。

Sysmonのイベントカタログは、完全なコマンドライン引数付きでプロセスの作成を記録します。つまり、「プログラムが実行された」ことだけでなく、「どのように起動されたのか」まで把握できます。ネットワーク接続も記録対象で、発信元プロセス、IPアドレス、ポート、ホスト名が含まれるため、どのアプリケーションがいつどのサーバーへ接続したかを追跡できます。さらに、ファイル作成タイムスタンプの改ざんにもフラグを立てます。これはマルウェアが正規のシステムファイルになりすますための古典的な手口です。それにとどまらず、ドライバーのロード、レジストリ変更、DNSクエリ、さらにはプロセスハロウィング(Event ID 25として記録)といった高度な攻撃手法まで監視します。プロセスハロウィングとは、悪意あるコードが本来不可欠なWindowsプロセスの内部に潜み込む手法のことです。

ここで、セキュリティ観点で特に重要なイベントIDをまとめた表をご紹介します。

関連記事:PCが密かに別の用途に使われていないか見分ける方法

「PCが自分が頼んだ以上のことをしている気がする……」そんな疑問を抱えたときに、隠れた活動をチェックする具体的な方法をご紹介しています。

Sysmonを導入して動かすまでの手順

ターミナルを開ければ、もう半分は終わったも同然

SysmonはMicrosoftのSysinternalsページから無料でダウンロードでき(本稿執筆時点のバージョンは15.15)、インストールはコマンド1つで完了します。管理者権限が必要で、PowerShellまたはコマンドプロンプトを少し操作しますが、所要時間は5分未満です。

Sysmon

対応OS: Windows(Linux版もあり)
開発元: Microsoft(Sysinternalsチーム)
価格: 無料

Sysmonは、プロセスの起動、ネットワーク接続、ファイル変更といった詳細なWindowsの動きを記録する高度なシステム監視ツールです。バックグラウンドで常駐し、セキュリティ専門家にPC内部の状況を深く可視化します。

まずMicrosoft Learnの公式Sysmonページにアクセスし、ZIPファイル(約4.6MB)をダウンロードして中身を展開します。次にPowerShellまたはコマンドプロンプトを管理者として開き、展開したフォルダーへ移動して以下のコマンドを実行します。

.\sysmon64 -accepteula -i

これが基本のインストールです。Sysmonはサービスとドライバーをバックグラウンドで組み込みます。再起動すら不要です。以降、イベントビューアーの「アプリケーションとサービスログ」→「Microsoft」→「Windows」→「Sysmon」→「Operational」にイベントが記録されていきます。ログはすぐに確認できます。

アンインストールも同様に簡単で、sysmon64 -uを実行するだけです。このツールはシステムに食い込んで居座ろうとしません。その潔さには好感が持てます。

一人でゼロから考える必要はない

デフォルトの状態でもSysmonは機能しますが、真価を発揮するのは設定ファイルを組み合わせたときです。SysmonはXML形式の設定を受け入れ、どのイベントを記録し、どれを除外し、どこまで細かく追跡するかを指定できます。XMLに馴染みがなければ、XMLファイルの基本と使い方を復習しておくとよいでしょう。このファイルが、Sysmonがシステムを監視する際の「ロジック」を定義します。ゼロから書くのは骨の折れる作業ですが、実際にはその必要がありません。

サイバーセキュリティコミュニティには、優れた既製の設定ファイルがいくつも存在します。最も広く使われているのは、GitHubで無料公開されているSwiftOnSecurityの「sysmon-config」です。約5,000のスターと1,700以上のフォークを獲得しており、セキュリティに関わるイベントを確実に捉えつつ、ログを読めなくするほどのノイズを除去できるよう慎重に調整されています。全行にコメントが付いているため、チュートリアルとしても活用できます。この設定を使ってインストールするには、次のコマンドを実行します。

sysmon64 -accepteula -i sysmonconfig-export.xml

既存のインストールに新しい設定ファイルを適用する場合はこちらです。

sysmon64 -c sysmonconfig-export.xml

さらにモジュール式な構成を望むなら、Olaf Hartong氏による「sysmon-modular」プロジェクト(GitHub)がおすすめです。MITRE ATT&CKフレームワークに直接マッピングされた、コミュニティ管理の柔軟なアプローチを提供しています。どちらも優れた出発点になるでしょう。

すべての攻撃を防げるわけではないが、発生したことは必ずわかる

Sysmonをうまく運用するために、セキュリティエンジニアである必要はありません。まともな設定ファイルと、時々イベントビューアーを開いて確認する習慣、そして「万が一マシンで奇妙なことが起きても、記録が残っている」という安心感があれば十分です。筆者にとって、その安心感は5分のセットアップにかける価値が十分にあります。