Windows e identidade · evento

Sysmon Event ID 1 — Process Create

Criação de processo observada pelo Sysmon com campos para correlação defensiva.

Conceito e funcionamento

O Event ID 1 do Sysmon contém contexto de criação de processo, como Image, CommandLine, ProcessGuid e ParentProcessGuid conforme configuração e versão. O ProcessGuid é útil para relacionar ações de uma instância de processo além de seu PID; ele não substitui o host e a janela temporal.

Como investigar e correlacionar

Busque criação do processo e seu pai, depois pivote para conexões, DNS ou arquivos quando esses eventos estiverem habilitados. Compare com inventário de software autorizado e assinaturas quando disponíveis. Documente configuração e versão do Sysmon usadas para gerar os dados.

Consulta ou exemplo orientativo

Execute somente em ambiente autorizado, com privilégios e ferramentas adequados. A saída depende da configuração da fonte.

PowerShell
Get-WinEvent -FilterHashtable @{LogName='Microsoft-Windows-Sysmon/Operational'; Id=1; StartTime=(Get-Date).AddHours(-2)} -MaxEvents 20

ESTUDO DE CASO · CENÁRIO SINTÉTICO

Aplicação em uma investigação

Situação

Um script legítimo iniciado pelo agente de administração gera cadeia de processos semelhante à observada em investigações de execução indevida.

Procedimento orientado

Filtre ProcessGuid e ParentProcessGuid na VM, procure origem do script e contexto da conta, e compare com evento 4688 quando presente.

Resultado esperado

O analista entrega um pequeno grafo pai-filho com horários, comandos sanitizados e justificativa da classificação.

Cuidados adicionais

Dependência de PID apenas pode ligar eventos de processos diferentes, especialmente após reinício.

Limitações e interpretações incorretas

Sysmon não garante todos os eventos sem configuração e recursos de coleta. CommandLine pode conter segredos e ser omitida; processo pai pode ter iniciado antes da retenção. Correlacionar PID sem host ou ProcessGuid pode relacionar processos incorretos.

Checklist de validação

  • Confirmar Event ID 1 habilitado
  • Usar ProcessGuid e host
  • Relacionar pai e filho
  • Registrar exclusões de configuração

Referências técnicas

Guias para aprofundar

  • eventos windows sysmon — aguardando publicação editorial