🪟 Windows: Sysmon стал встроенным — и это меняет мониторинг всего флота

Коллеги, новость которая тихо пришла в марте и уже начала раскатываться — и которую стоит понять до того, как оно появится у вас само.

Microsoft интегрирует Sysmon нативно в Windows 11 и Windows Server 2025. Теперь это Optional Feature — включается стандартным механизмом ОС, обновляется через Windows Update, без ручной загрузки бинарей с Sysinternals.

Что это означает практически: существующие конфигурационные файлы из community-репозиториев (SwiftOnSecurity, sysmon-modular) поддерживаются. Event IDs, XML-конфиги, канал Microsoft-Windows-Sysmon/Operational — всё остаётся как есть.

# Включаем native Sysmon через Optional Features (WS2025 / Win11):
# Вариант 1 — через GUI:
# Settings -> System -> Optional Features -> Add feature -> Sysmon

# Вариант 2 — через PowerShell:
Add-WindowsCapability -Online -Name "Sysmon~~~~0.0.1.0"

# Проверяем статус:
Get-WindowsCapability -Online | Where-Object {$_.Name -like "*Sysmon*"}

# Применяем конфиг (синтаксис тот же что и у standalone):
sysmon -i sysmon-config.xml

# Используем готовый community-конфиг SwiftOnSecurity:
# github.com/SwiftOnSecurity/sysmon-config
Invoke-WebRequest -Uri "https://raw.githubusercontent.com/SwiftOnSecurity/sysmon-config/master/sysmonconfig-export.xml" `
    -OutFile "sysmon-config.xml"
sysmon -c sysmon-config.xml

# Проверяем что события пишутся:
Get-WinEvent -LogName "Microsoft-Windows-Sysmon/Operational" -MaxEvents 10 |
    Select-Object TimeCreated, Id, Message |
    Format-List

# Массовое включение через GPO + DISM:
# Computer Config -> Software Settings -> Software Installation
# или через Intune: Add feature -> Sysmon

# Ключевые Event IDs для первичного мониторинга:
# 1  — Process Create (с хэшами и командной строкой)
# 3  — Network Connection
# 7  — Image Load (подозрительные DLL)
# 10 — Process Access (lsass dump!)
# 22 — DNS Query

Важное предупреждение: если у вас уже развёрнут standalone Sysmon — возможны двойное логирование и конфликты политик. Нужно спланировать миграцию: убедиться в совместимости конфигов, скоординировать с вендором SIEM, обновить правила парсинга.

Зачем это важно:
Раньше Sysmon требовал координации установки на тысячах endpoint, управления конфигами через GPO и отдельного контроля обновлений. Нативная интеграция убирает эту операционную нагрузку — каждая машина под управлением WS2025/Win11 может иметь богатую телеметрию без дополнительных агентов.

Итог: если у тебя нет Sysmon сейчас — самое время начать. Если есть — начни планировать переход на native версию до того как она появится сама.

#windows #sysmon #security #monitoring #siem #sysadmin #admin_future

🙈 Уязвимость «низкой» критичности в ESXi использовали как zero-day. Её задача — чтобы логи ничего не видели

Коллеги, есть CVE, мимо которых обычно проходят со словами «Low, проблемы с логами, когда-нибудь потом». Китайская APT-группировка рассудила иначе.

📌 ФАКТЫ
CVE-2026-41709 — недостаточное логирование критических событий в гипервизоре VMware ESXi (баг позволял совершать привилегированные действия в обход стандартных журналов аудита)

Группировка Warp Panda (китайский кибершпионаж по классификации CrowdStrike) эксплуатировала этот дефект как zero-day в начале 2026 года для скрытного закрепления в инфраструктуре

Типовая цепочка атаки: пробив внешнего периметра → закрепление на сервере vCenter → деплой кастомных ESXi-бэкдоров (BRICKSTORM, SharpStorm) → кража облачных токенов сессий и регистрация своих MFA-устройств в корпоративном тенанте M365

Broadcom выпустила патч в июле 2026 года. 28 октября уязвимость официально внесена в каталог эксплуатируемых угроз CISA KEV со строгим дедлайном устранения для госсектора до 11 ноября

🛠 ВЫВОДИМ ЛОГИ ESXi НА ВНЕШНИЙ СЕРВЕР
Хранить аудит только локально в /var/log на самом хосте виртуализации — подарок злоумышленнику. Настраиваем отправку в SIEM/Syslog:

Bash

# 1. Проверяем текущую версию гипервизора и билд
vmware -vl

# 2. Смотрим текущий таргет syslog
esxcli system syslog config get

# 3. Направляем поток событий на удалённый коллектор/SIEM
esxcli system syslog config set --loghost='tcp://siem.local:514'
esxcli system syslog reload

# 4. Открываем системный порт для syslog во встроенном файрволе ESXi
esxcli network firewall ruleset set --ruleset-id=syslog --enabled=true

😅 ЖИЗНЕННОЕ
Атакующий на скомпрометированном хосте ESXi ведёт себя точь-в-точь как кот, стащивший со стола сосиску: первым делом заметает следы и прикрывает миску лапой. Если журналы не улетают на внешний сервер в момент записи, то при разборе инцидента в локальных логах останутся только «перезагрузка демона» и звенящая пустота.

💡 В ЧЁМ СУТЬ

Рейтинг Low по шкале CVSS отражает лишь сложность или изолированный импакт уязвимости, но не её ценность в реальной цепочке компрометации (Kill Chain). Для APT-группы баг, ослепляющий SOC и стирающий таймлайны, стоит десятка шумных эксплойтов.

Все события гипервизоров должны стримиться во внешнюю неизменяемую SIEM в режиме реального времени, а июльские патчи Broadcom пора окончательно докатить до всех продакшен-кластеров.

#vmware #esxi #logging #siem #apt #юмор #sysadmin #admin_future