既存の Windows イベント・ソースへの Sysmon の追加

更新スクリプトを使用して、Sysmon イベントを収集するようにエージェントを構成できます。

システム・イベント、アプリケーション・イベント、およびセキュリティー・イベントとともに Sysmon イベントを収集するには、以下の更新スクリプトをパッチ・ディレクトリーに追加します。

<?xml version="1.0" encoding="UTF-8"?>
<WinCollectScript version="10.0.0" >
    <AddTo objPath="LocalSources(Name=Local)" >
        <Source Name="Sysmon" Channel="XPath" Type="MSEVEN6" >
            <Parameter name="Query">
                <QueryList>
                    <Query Id="0" Path="Microsoft-Windows-Sysmon/Operational">
                        <Select Path="Microsoft-Windows-Sysmon/Operational">*</Select>
                    </Query>
                </QueryList>
            </Parameter>
        </Source>
    </AddTo>
</WinCollectScript>

このスクリプトは、ローカルソースに Sysmon を追加します。