Sysmon で DNS クエリのログを取得する

Sysmon

Sysmon が DNS クエリのロギングに対応したそうなので、実際にログを取得してみました。なお、今回の手順は VMware 上に構築された Windows 10 で確認しています。

以上でインストール完了です。

Sysmon のログは アプリケーションとサービスログ > Microsoft > Windows > Sysmon の Operational にすべて記録されています。

初期状態では DNS クエリのログ取得はされないようになっているので、設定変更をして取得されるようにします。

メモ帳などで以下の内容のファイルを作成し、config-dnsquery.xmlというファイル名で保存します。

<Sysmon schemaversion="4.21">
 <EventFiltering>
  <DnsQuery onmatch="exclude" />
 </EventFiltering>
</Sysmon>

このファイルを Sysmon を展開したのと同じフォルダにもっていき、Sysmon.exe -c config-dnsquery.xmlと入力して設定を反映させます。

これで DNS クエリのログが開始されます。

Sysmon のログは アプリケーションとサービスログ > Microsoft > Windows > Sysmon の Operational にすべて記録されています。イベントID が 22 となっているものが DNS クエリのログです。

以下のサイトで Sysmon のコンフィグファイルが掲載されています。

SwiftOnSecurity/sysmon-config: Sysmon configuration file template with default high-quality event tracing
https://github.com/SwiftOnSecurity/sysmon-config

テスト版ですが、DNSログについていくつかの頻出ドメインを除外設定を含めた設定が作成されています。一般に DNS クエリのログは大量になることが想定されます。巨人の肩に乗りたい場合には以下の設定ファイルを適用するのがよいかもしれません。

私はまだ試せてはいないのですが、取得できないよと伝えているブログがありました。

Sysmon 10.0 - New features and changes – Olaf Hartong – Medium
設定によっては、EventID 3（NetworkConnection）でアクティビティを確認できる場合がありますが、リクエスト自体は表示されません。あなたが見ることができるかもしれない唯一の事は DoHプロバイダーの1つに呼びかけている予期しないプロセスです。

以上

管理者権限で実行したコマンドプロンプトにおいて Sysmon.exe -u と入力することでアンインストールできます。

なお、アンインストール後にうまくインストールできない場合には以下の手順で関連ファイルなどを削除します。

regedit.exe を実行して HKEY_LOCAL_MACHINE\System\CurrentControlSet\Services\Sysmondrv を削除します
同様に HKEY_LOCAL_MACHINE\System\CurrentControlSet\Services\Sysmon を削除します
端末を再起動してから C:\windows\sysmondrv.sys と C:\windows\sysmon.exe を削除します