Windows Server Üzerinde Sysmon Log Analiziyle Tehdit Tespiti (SOC Entegrasyonu)

Sysmon (System Monitor), Windows sistemlerinde kullanıcı aktiviteleri, dosya değişiklikleri, ağ bağlantıları ve işlem oluşturma olaylarını detaylı şekilde kaydeden güçlü bir Microsoft Sysinternals aracıdır. Güvenlik operasyon merkezlerinde (SOC), Sysmon logları kötü amaçlı davranışları tespit etmek, olay korelasyonu yapmak ve tehdit avı (threat hunting) süreçlerini otomatize etmek için kullanılır. Bu rehberde, Windows Server üzerinde Sysmon kurulumundan, yapılandırmasından ve SIEM/SOC entegrasyonuna kadar tüm süreci ele alıyoruz.

1. Sysmon Nedir ve Neden Kullanılır?

Sysmon, sistemdeki davranışsal olayları derinlemesine izler. Standart Windows loglarının yakalayamadığı ayrıntıları (ör. proses zincirleri, hash değerleri, ağ bağlantı IP’leri) sağlar. SOC ekipleri bu verileri kullanarak anormallikleri hızlıca tespit edebilir.

• Yeni işlem oluşturma (Event ID 1)
• Ağ bağlantıları (Event ID 3)
• Dosya oluşturma/zaman damgası değişiklikleri (Event ID 11, 2)
• Registry değişiklikleri (Event ID 13)
• ImageLoad olayları (Event ID 7)

2. Sysmon Kurulumu

Kurulum için Sysinternals Sysmon aracını indirin. Ardından yönetici yetkileriyle PowerShell veya CMD üzerinden aşağıdaki komutu çalıştırın:

Sysmon64.exe -accepteula -i sysmonconfig.xml

Burada sysmonconfig.xml, hangi olayların izleneceğini belirleyen yapılandırma dosyasıdır.

3. Önerilen Yapılandırma (Config XML)

Resmi Microsoft veya SwiftOnSecurity tarafından yayımlanan hardening config dosyaları kullanılabilir:

<Sysmon schemaversion="4.80">
  <EventFiltering>
    <ProcessCreate onmatch="include"/>
    <NetworkConnect onmatch="include"/>
    <FileCreate onmatch="include"/>
    <ImageLoad onmatch="include"/>
  </EventFiltering>
</Sysmon>

Bu yapılandırma, temel olayları izleyerek fazla log üretmeden etkili bir görünürlük sağlar.

4. Sysmon Loglarının Görüntülenmesi

Olaylar, Windows Event Viewer üzerinden şu dizinde bulunur:

Applications and Services Logs → Microsoft → Windows → Sysmon → Operational

PowerShell üzerinden inceleme yapmak için:

Get-WinEvent -LogName "Microsoft-Windows-Sysmon/Operational" | Select -First 10

5. Sysmon Verilerinin SIEM/SOC Entegrasyonu

Sysmon loglarını Elastic Stack (ELK), Splunk, Graylog veya Microsoft Sentinel gibi SIEM sistemlerine yönlendirin. Bunun için Windows Agent veya Winlogbeat kullanılabilir.

winlogbeat.yml
----------------
winlogbeat.event_logs:
  - name: Microsoft-Windows-Sysmon/Operational
    processors:
      - drop_event.when.not.contains.event_id: [1,3,7,11,13]

Bu yapılandırma sadece kritik olay türlerini SIEM’e yollar.

6. SOC Seviyesinde Tehdit Tespiti

Sysmon loglarından anomali tespiti için korelasyon kuralları yazılabilir:

• Event ID 1 + Powershell.exe: Şüpheli işlem oluşturma.
• Event ID 3 + dış IP + 4444 port: Potansiyel reverse shell bağlantısı.
• Event ID 11 + Temp dizini + .exe: Kötü amaçlı dosya indirimi.

Bu olayları SIEM platformunda “Alert Rule” olarak tanımlayarak otomatik uyarı akışı oluşturabilirsiniz.

7. Performans ve Log Yönetimi

• Event Filtering: Gereksiz logları filtreleyin (ör. System32 klasöründeki rutin işlemler).
• Arşivleme: Sysmon loglarını günlük veya haftalık olarak sıkıştırarak depolayın.
• Otomasyon: PowerShell scriptleriyle log rotasyonlarını planlayın.

8. Sysmon + Defender + WAF Entegrasyonu

Windows Defender logları ve Sysmon verileri birleştirilerek daha güçlü korelasyon kuralları oluşturulabilir. Ayrıca, web trafiği tarafında WAF (Web Application Firewall) verileri de SOC’a aktarılmalıdır.

9. Sysmon Güncelleme ve Sürüm Takibi

Yeni sürümlerle birlikte eklenen Event ID’leri takip edin. Sysmon 14.0+ sürümleri, DNS sorgularını (Event ID 22) ve dosya silme olaylarını da loglamaktadır. Bu veriler, SOC analitiği için çok değerlidir.

10. Olay Müdahalesi (Incident Response) İçin Kullanımı

Bir saldırı tespit edildiğinde, Sysmon loglarıyla olayın kaynağı, zaman çizelgesi ve etkilenen süreçler detaylı olarak çıkarılabilir. Bu veriler, adli analiz (forensics) süreçlerinde kanıt niteliği taşır.

Sonuç

Sysmon, Windows ortamlarında davranışsal güvenlik analizi yapmak için en güçlü araçlardan biridir. SOC entegrasyonu sayesinde tehdit tespiti, olay müdahalesi ve log korelasyonu profesyonel bir seviyeye taşınabilir. Doğru konfigürasyon ve SIEM bağlantısıyla, Windows sunucularınızda görünürlüğü maksimuma çıkarabilir ve saldırıları erken evrede yakalayabilirsiniz.