🔹 همونطور که گفتم، اول باید Sysmon رو نصب و کانفیگ کنیم.

یه نکته همین اول کار بگم: برای اینکه لاگ وصل شدن یه USB Storage Device (مثل فلش یا هارد اکسترنال) رو بگیریم، لازمه Sysmon روی همه‌ی کلاینت‌هایی که مدنظر داریم نصب و تنظیم بشه.

📥 برای نصب Sysmon می‌تونید از سایت رسمی مایکروسافت دانلودش کنید:
👈 لینک دانلود Sysmon

و فایل کانفیگ آماده رو هم میشه از گیت‌هاب گرفت:
👈 لینک کانفیگ Sysmon Modular

بعد از اینکه این دوتا فایل (خود Sysmon و فایل sysmonconfig.xml) رو دانلود کردیم، می‌ریزیمشون توی یه پوشه داخل درایو C .
حالا با دسترسی Administrator، یه CMD باز می‌کنیم و همون‌جا مراحل نصب رو می‌ریم جلو.

با دستور زیر Sysmon نصب و کانفیگ میشه:

sysmon.exe -accepteula -i sysmonconfig.xml

بعد از نصب، لاگ‌های Sysmon رو می‌تونیم از Event Viewer توی مسیر زیر ببینیم:

Applications and Services Logs > Microsoft > Windows > Sysmon

⚠️ یه نکته‌ی مهم: لاگ اتصال USB Storage به صورت پیش‌فرض توی فایل کانفیگ دانلودی نیست. پس لازمه یه رول جدید به فایل کانفیگ اضافه کنیم.

🔜 توی ادامه میریم سراغ اینکه چطوری این رول رو اضافه کنیم.

@Socroot