فرض کنید قراره یک پالیسی در سطح شبکه پیاده‌سازی کنید؛ به این شکل که وقتی یک USB Storage Device (مثل فلش یا هارد اکسترنال) از طریق پورت USB به سیستم متصل میشه، لاگ این اتصال به SIEM ارسال بشه.
اینجا Event Viewer ویندوز به کار ما نمیاد، پس می‌ریم سراغ Sysmon .
وقتی یک USB Storage به سیستم وصل میشه، ویندوز سرویس USBSTOR (USB Mass Storage Driver) رو که در رجیستری با مسیر زیر تعریف شده، فراخوانی می‌کنه:
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\USBSTOR
ما می‌تونیم با استفاده از Event Code 13 در Sysmon (که مربوط به تغییرات در رجیستری هست)، لاگ این اتصال رو دریافت کنیم.
🔜 جلوتر با هم بررسی می‌کنیم که چطور Sysmon رو نصب کنیم و این لاگ رو به دست بیاریم.
@Socroot