Sysmon को Windows 11 में डिफ़ॉल्ट रूप से भेजना एक लंबे समय की कमी को बंद कर दिया: OS अब प्रक्रिया निर्माण, नेटवर्क कनेक्शन, रजिस्ट्री संपादन, फ़ाइल सिस्टम परिवर्तन और किसी तीसरे पक्ष की स्थापना के बिना DLL लोड के लिए संरचित घटना रिकॉर्ड लिखता है। Task Manager “मेरा कंप्यूटर क्या कर रहा है” का जवाब एक दशक के लिए नहीं रहा है, लेकिन Sysmon की बंडलिंग केवल सुरक्षा टीमों के लिए नहीं बल्कि सभी के लिए आधार परिवर्तन को बदलता है। हमने Windows 11 पर sysadmin के दैनिक-उपकरण शेल्फ को फिर से बनाया और सात घटना लॉग विश्लेषण ऐप्स को स्थान दिया जो रखने लायक हैं, मूल्यांकन करते हैं कि प्रत्येक क्या प्रकट करता है जो Event Viewer अकेले मिस करता है।
सूची Microsoft द्वारा बनाए गए Sysinternals उपयोगिताओं (मुफ़्त, कोई स्थापना आवश्यक नहीं), एक पुनर्निर्मित निर्मित उपकरण और तीन घटना-अग्रेषण एजेंटों को मिलाती है जो कच्चे लॉग लेते हैं और उन्हें एक प्रश्नयोग्य स्थान पर भेजते हैं।
Windows घटना लॉग विश्लेषण ऐप में क्या देखें
जब तक आप वास्तव में किसी घटना की जांच करने की कोशिश नहीं करते, तब तक श्रेणी समान दिखती है। पाँच मानदंड नीचे दिए गए विकल्पों को अप्रयुक्त फ्रीवेयर की एक नोटबुक से अलग करते हैं:
- कैप्चर गहराई। प्रक्रिया वृक्ष, कमांड लाइन, पैरेंट PID, फ़ाइल हैश, नेटवर्क एंडपॉइंट। कैप्चर जितना गहरा हो, उतना ही कम आपको परिदृश्य को फिर से बनाने की आवश्यकता होती है।
- फ़िल्टरएबिलिटी। वास्तविक सिस्टम प्रति घंटे 50,000 घटनाएं उत्पन्न करते हैं। ऐप को एक फ़िल्टर भाषा की आवश्यकता होती है जो वास्तविक कार्यभार में जीवित रहती है, केवल एक खोज बॉक्स नहीं।
- लाइव बनाम ऐतिहासिक। कुछ उपकरण सिस्टम पर लाइव बैठते हैं और स्ट्रीम करते हैं। अन्य तथ्य के बाद .evtx फ़ाइलों को पढ़ते हैं। अधिकांश जांचों को दोनों की आवश्यकता होती है।
- अग्रेषण। लॉग केवल तब मायने रखते हैं जब वे मशीन को छोड़ते हैं। एक SIEM या स्व-होस्ट किए गए स्टोर को अग्रेषित करना एक कॉन्फ़िगरेशन होना चाहिए, कोई कस्टम स्क्रिप्ट नहीं।
- प्रदर्शन लागत। गहन स्तरों पर घटना कैप्चर एक CPU कोर को पिन कर सकता है। अच्छे उपकरण आपको पुनः कंपाइल किए बिना शोर तल को ट्यून करने देते हैं।
त्वरित तुलना
| App | Best for | Bundle | Free | Live capture |
|---|---|---|---|---|
| Sysinternals Sysmon | Deep, structured event records | Bundled in Windows 11 | Yes | Yes |
| Sysinternals Process Monitor | Real-time file, registry, network | Sysinternals Suite | Yes | Yes |
| Sysinternals Process Explorer | Process tree drill-down | Sysinternals Suite | Yes | Yes |
| Windows Event Viewer | Built-in baseline | Windows | Yes | Live and historical |
| NXLog Community Edition | Free log forwarding | Standalone | Yes | Yes |
| Snare Open Source Agent | Event log forwarding to Syslog | Standalone | Yes | Yes |
| EventSentry Light | Free SIEM-lite for small networks | Standalone | Free tier | Yes |
Windows घटना लॉग विश्लेषण के 7 सर्वश्रेष्ठ ऐप्स
1. Sysinternals Sysmon, गहरी संरचित घटना रिकॉर्ड के लिए सर्वश्रेष्ठ
Sysinternals Sysmon Windows सेवा के रूप में चलता है और Microsoft-Windows-Sysmon/Operational चैनल में विस्तृत घटना रिकॉर्ड लिखता है। रिकॉर्ड में पूर्ण कमांड लाइन, पैरेंट प्रक्रिया, छवि हैश, लोड किए गए DLL, गंतव्य के साथ नेटवर्क कनेक्शन और नाम वाली-पाइप निर्माण शामिल है। XML कॉन्फ़िगरेशन फ़ाइल प्रमुख विशेषता है: एक सावधानीपूर्वक विचार किया गया कॉन्फ़िगरेशन (SwiftOnSecurity संदर्भ कॉन्फ़िगरेशन सामुदायिक मानक है) शोर को उन घटनाओं तक कम करता है जो सर्वर या वर्कस्टेशन पर वास्तव में मायने रखती हैं। Sysmon अब Windows 11 में बंडल किए जाने के साथ, नई बॉक्स के लिए इंस्टॉल स्टेप चला जाता है।
जहां यह अल्पमत है: कॉन्फ़िगरेशन पूरी उत्पाद है। एक बुरा कॉन्फ़िगरेशन Sysmon को बेकार बनाता है या चैनल को बाढ़ देता है। Windows में बंडल किया गया संस्करण स्टैंडअलोन डाउनलोड से एक रिलीज द्वारा पिछड़ सकता है।
मूल्य निर्धारण:
- मुफ़्त: हाँ
- भुगतान: नहीं
प्लेटफ़ॉर्म: Windows 11 (बनाया गया), Windows 10, Windows Server
डाउनलोड: learn.microsoft.com/sysinternals/downloads/sysmon
निचली पंक्ति: किसी के लिए डिफ़ॉल्ट चुनाव जो जांच कर रहा हो कि Windows मशीन ने वास्तव में क्या किया। इसे SwiftOnSecurity के समान एक विश्वसनीय कॉन्फ़िगरेशन के साथ जोड़ी।
2. Sysinternals Process Monitor, सर्वश्रेष्ठ रीयल-टाइम फ़ाइल और रजिस्ट्री ट्रेसिंग
Sysinternals Process Monitor (Procmon) लाइव ट्रेस टूल है जिसे आप चलाते हैं जब कोई प्रोग्राम कुछ करता है जो आप समझा नहीं सकते। यह सबमिलीसेकंड टाइमस्टैम्प के साथ हर फ़ाइल सिस्टम कॉल, रजिस्ट्री एक्सेस, नेटवर्क एंडपॉइंट और प्रक्रिया घटना को कैप्चर करता है, फिर आपको प्रक्रिया, पथ, ऑपरेशन या परिणाम द्वारा परिणामी बाढ़ को फ़िल्टर करने देता है। “प्रक्रिया वृक्ष” दृश्य ट्रेस के दौरान पैरेंट-चाइल्ड संबंधों को दिखाता है, और “स्टैक” दृश्य कॉल साइट को सामने लाता है जिसने कॉल किया। PML के रूप में एक ट्रेस को सहेजना किसी सहकर्मी को इसे एक अलग मशीन पर खोलने और तुरंत फ़िल्टर करना शुरू करने देता है।
जहां यह अल्पमत है: Procmon आक्रामक रूप से कैप्चर करता है, जो डिस्क को भरता है और मशीन को धीमा करता है यदि घंटों के लिए चल रहा हो। फ़िल्टरिंग सहज है लेकिन अभ्यास की आवश्यकता होती है।
मूल्य निर्धारण:
- मुफ़्त: हाँ
- भुगतान: नहीं
प्लेटफ़ॉर्म: Windows 11, Windows 10, Windows Server
डाउनलोड: learn.microsoft.com/sysinternals/downloads/procmon
निचली पंक्ति: वह उपकरण जिसका आप सहारा लेते हैं जब “Sysmon लॉन्च दिखाता है लेकिन मुझे समझ नहीं आता कि अगली चीज क्यों हुई”। इसे संक्षेप में चलाएँ, फ़िल्टर करें, सहेजें, बाहर निकलें।
3. Sysinternals Process Explorer, प्रक्रिया वृक्ष ड्रिल-डाउन के लिए सर्वश्रेष्ठ
Sysinternals Process Explorer Task Manager प्रतिस्थापन है जो 20 वर्षों से अधिक समय के लिए Sysinternals Suite में भेजा गया है। प्रक्रिया वृक्ष दृश्य पैरेंट-चाइल्ड श्रृंखला दिखाता है जो Task Manager छिपाता है, प्रति-प्रक्रिया I/O और नेटवर्क बार दिखाता है कि व्यस्त मशीन को वास्तव में क्या संतृप्त कर रहा है, और “हैंडल या DLL खोजें” खोज यह जानने का मानक तरीका है कि कौन सी प्रक्रिया एक फ़ाइल को खुला रखती है जिसे आप हटा नहीं सकते। हैश पर हस्ताक्षरित VirusTotal लुकअप ऐप को छोड़े बिना अज्ञात बाइनरी को फ़्लैग करता है।
जहां यह अल्पमत है: विजुअल घनत्व को अनुकूलन की आवश्यकता होती है। कुछ sysadmin ऑपरेशन (संरक्षित प्रक्रियाओं को जबरन मारना) को अभी भी व्यवस्थापक ऊंचाई की आवश्यकता है।
मूल्य निर्धारण:
- मुफ़्त: हाँ
- भुगतान: नहीं
प्लेटफ़ॉर्म: Windows 11, Windows 10, Windows Server
डाउनलोड: learn.microsoft.com/sysinternals/downloads/process-explorer
निचली पंक्ति: मुफ़्त Task Manager अपग्रेड जो हर Windows admin की मशीन पर होना चाहिए। इसे Task Manager को प्रतिस्थापित करने के लिए कॉन्फ़िगर करें और भूल जाएं कि आपने स्विच किया।
4. Windows Event Viewer, सर्वश्रेष्ठ निर्मित आधार
Windows Event Viewer निर्मित ऐप है जो इस सूची पर हर दूसरा उपकरण या तो से पढ़ता है या में लिखता है। Custom Views विशेषता आपको घटना ID, स्रोत या XPath द्वारा प्रश्नों को पिन करने देती है, और Subscriptions विशेषता स्थानीय कलेक्टर चैनल में रिमोट मशीनों से घटनाओं को खींचती है SIEM के लिए भुगतान किए बिना। हाल के Windows 11 अपडेट में पुनर्निर्मित Settings-app एकीकरण सामान्य प्रश्नों को प्रदर्शित करता है (हाल की क्रैश, ऐप-इंस्टॉल घटनाएं) चैनल नामों को याद किए बिना।
जहां यह अल्पमत है: UI अभी भी Windows Vista से कोर में समान MMC कंसोल है, और जटिल XPath फ़िल्टर को XML में संपादन की आवश्यकता है। एक प्रश्न को सहेजना प्रति-मशीन है, कोई निर्यात के बिना।
मूल्य निर्धारण:
- मुफ़्त: हाँ
- भुगतान: नहीं
प्लेटफ़ॉर्म: Windows 11, Windows 10, Windows Server
डाउनलोड: पहले से स्थापित; स्टार्ट मेनू में “Event Viewer” टाइप करें
निचली पंक्ति: किसी भी घटना की तलाश के लिए पहली जगह। एक बार जब कोई प्रश्न दोहराया जाने लगे, तो इसे नीचे समर्पित उपकरणों में से एक में धकेलें।
5. NXLog Community Edition, सर्वश्रेष्ठ मुफ़्त लॉग अग्रेषण
NXLog Community Edition NXLog लॉग प्रबंधन स्टैक का मुफ़्त, खुली कोर है। यह Windows घटना लॉग (Sysmon सहित), Linux syslog, सपाट फ़ाइलें, और कस्टम एप्लिकेशन स्रोत पढ़ता है, फिर syslog, फ़ाइल, Kafka, Elasticsearch, या किसी भी HTTP एंडपॉइंट को अग्रेषित करता है। कॉन्फ़िगरेशन भाषा सरल और अच्छी तरह से दस्तावेज़ित है, और CE बाइनरी Windows, Linux, और कई BSD को कवर करते हैं। समुदाय Elastic या स्व-होस्ट किए गए SIEM में Windows घटनाओं को भेजते समय पसंद के एजेंट के रूप में NXLog CE को मानकीकृत करते हैं।
जहां यह अल्पमत है: कुछ उन्नत आउटपुट मॉड्यूल (S3, Azure Sentinel सीधे) Enterprise स्तर के लिए आरक्षित हैं। Windows CE इंस्टॉलर पहली बार उपयोगकर्ताओं के लिए दस्तावेज़ पर विरल है।
मूल्य निर्धारण:
- मुफ़्त: हाँ Community Edition के लिए
- भुगतान: अनुरोध पर Enterprise मूल्य निर्धारण
प्लेटफ़ॉर्म: Windows, Linux, BSD
डाउनलोड: nxlog.co/products/nxlog-community-edition
निचली पंक्ति: डिफ़ॉल्ट एजेंट जब लक्ष्य “Windows घटनाओं को कहीं प्रश्नयोग्य भेजना है SIEM प्रति-घटना शुल्क के बिना”।
6. Snare Open Source Agent, सर्वश्रेष्ठ Windows-टू-Syslog अग्रेषक
Snare Open Source Agent दीर्घकालीन Windows एजेंट है जो Event Log रिकॉर्ड को रिमोट कलेक्टर को अग्रेषित करने के लिए Syslog संदेशों में परिवर्तित करता है। NXLog पर लाभ सरलता है: एजेंट एक काम करता है, कॉन्फ़िगरेशन UI एकल संवाद है, और आउटपुट वह प्रारूप है जो हर SIEM पहले से ही कैसे पार्स करना जानता है। Open Source Snare अधिकांश स्थापना को कवर करता है; Enterprise संस्करण TLS, गतिशील फ़िल्टरिंग, और AD एकीकरण जोड़ता है।
जहां यह अल्पमत है: NXLog की तुलना में कम लचकदार यदि आप गैर-Windows स्रोत पढ़ना या संदेशों को रूपांतरित करना चाहते हैं। दस्तावेज़ Enterprise SKU की ओर झुकाव करता है।
मूल्य निर्धारण:
- मुफ़्त: हाँ Open Source एजेंट के लिए
- भुगतान: अनुरोध पर Enterprise मूल्य निर्धारण
प्लेटफ़ॉर्म: Windows
डाउनलोड: github.com/snareopensource/SnareAgent
निचली पंक्ति: चुनाव जब लक्ष्य कलेक्टर Syslog बोलता है और लक्ष्य EVTX से उस कलेक्टर तक सबसे छोटा मार्ग है।
7. EventSentry Light, छोटे नेटवर्क के लिए सर्वश्रेष्ठ मुफ़्त SIEM-lite
EventSentry Light EventSentry उत्पाद का मुफ़्त स्तर है, छोटे नेटवर्क के लिए निगरानी सुविधाओं का अधिकांश हिस्सा लाने के लिए डिज़ाइन किया गया है। यह रीयल-टाइम घटना लॉग निगरानी, फ़ाइल अखंडता जांच, प्रदर्शन काउंटर, और एक वेब डैशबोर्ड को एकल इंस्टॉलर में बंडल करता है, निगरानी की जाने वाली मशीनों की संख्या पर मुफ़्त कैप के साथ। होमलैब या एकल-सर्वर कार्यालय के लिए यह उपयोग के मामलों को कवर करता है जहां भारी SIEM की आवश्यकता होगी, सेटअप समय के एक अंश के साथ।
जहां यह अल्पमत है: मुफ़्त स्तर सीमित करता है कि आप कितने एंडपॉइंट की निगरानी कर सकते हैं। पूर्ण विशेषता सतह (अनुपालन रिपोर्ट, उन्नत सतर्कता) भुगतान स्तर के लिए आरक्षित है।
मूल्य निर्धारण:
- मुफ़्त: EventSentry Light, निगरानी एंडपॉइंट कैप लागू होता है
- भुगतान: EventSentry Full और Premium स्तर, प्रति एंडपॉइंट मूल्य निर्धारण
प्लेटफ़ॉर्म: Windows Server कलेक्टर, Windows, Linux, और SNMP उपकरणों के लिए एजेंट
डाउनलोड: eventsentry.com/light
निचली पंक्ति: “Event Viewer प्लस Excel” और “SIEM खरीद” के बीच मध्य जमीन। छोटे कार्यालय या गंभीर होमलैब के लिए सही आकार।
सही एक को कैसे चुनें
- Windows Event Viewer के साथ शुरू करें क्योंकि यह पहले से स्थापित है। आपके परवाह करने वाली चैनल के लिए Custom View पिन करें।
- Sysinternals Sysmon को हर मशीन पर जोड़ें जिसे आप प्रशासित करते हैं। इसे एक बनाए हुए संदर्भ कॉन्फ़िगरेशन के साथ जोड़ी करें ताकि शोर तल प्रबंधनीय रहे।
- अपने टूलकिट फ़ोल्डर में Process Monitor और Process Explorer रखें। वे सही उत्तर हैं जब “Sysmon कहता है X हुआ, लेकिन क्यों” सामने आता है।
- चुनें NXLog Community Edition यदि अगला कदम घटनाओं को Elastic या स्व-होस्ट किए गए स्टोर में भेजना है।
- चुनें Snare Open Source Agent यदि कलेक्टर Syslog चाहता है और आप एक कॉन्फ़िगरेशन संवाद चाहते हैं, कॉन्फ़िगरेशन भाषा नहीं।
- चुनें EventSentry Light यदि आप एक छोटा डैशबोर्ड, सतर्कता, और एंटरप्राइज मूल्य निर्धारण के बिना फ़ाइल-अखंडता निगरानी चाहते हैं।
FAQ
क्या Sysmon वास्तव में अब Windows 11 में बनाया गया है?
Windows 11 के हाल के अपडेट चैनलों में Sysmon को एक बंडल बाइनरी के रूप में शामिल किया गया है, कोई अलग डाउनलोड आवश्यक नहीं है। कॉन्फ़िगरेशन अभी भी व्यवस्थापक की जिम्मेदारी है; कॉन्फ़िगरेशन के बिना, Sysmon न्यूनतम घटनाएं लिखता है। बंडल बाइनरी को एक बनाए हुए संदर्भ कॉन्फ़िगरेशन के साथ जोड़ी करें मूल्य प्राप्त करने के लिए।
क्या मुझे Sysmon का उपयोग करने के लिए SIEM की आवश्यकता है?
नहीं। Sysmon किसी अन्य स्रोत की तरह Windows घटना लॉग में लिखता है, और Event Viewer अकेले एकल मशीन पर रिकॉर्ड पढ़ने के लिए पर्याप्त है। SIEM या NXLog जैसे अग्रेषक उपयोगी हो जाते हैं जब आपके पास केवल कुछ मशीन से अधिक हो और आप सभी को क्वेरी करना चाहते हो।
Process Explorer और Process Monitor के बीच क्या अंतर है?
Process Explorer Task Manager प्रतिस्थापन है जो लाइव प्रक्रिया राज्य, पैरेंट-चाइल्ड ट्री, और प्रति-प्रक्रिया संसाधन उपयोग दिखाता है। Process Monitor ट्रेसिंग टूल है जो ट्रेस विंडो के दौरान हर फ़ाइल, रजिस्ट्री और नेटवर्क ऑपरेशन रिकॉर्ड करता है। “क्या चल रहा है” के लिए Process Explorer का उपयोग करें; “क्या यह अभी कर रहा है” के लिए Process Monitor का उपयोग करें।
क्या Sysmon Microsoft Defender for Endpoint का हिस्सा है?
Microsoft Defender for Endpoint वही अंतर्निहित सिग्नल का उपयोग करता है, लेकिन यह एक अलग भुगतान उत्पाद है। Sysmon Sysinternals टीम का एक मुफ़्त टूल है जो कोई भी व्यवस्थापक Defender for Endpoint सदस्यता के बिना किसी भी Windows मशीन पर तैनात कर सकता है।
क्या मैं Windows घटना लॉग को Linux SIEM में अग्रेषित कर सकता हूँ?
हाँ। NXLog Community Edition, Snare Open Source, और Microsoft की आधिकारिक Winlogbeat एजेंट सभी Windows घटनाओं को Syslog या JSON के रूप में Linux कलेक्टर को अग्रेषित करते हैं। अधिकांश ELK और Graylog स्थापन सीधे इस प्रारूप को स्वीकार करते हैं।
