![](https://webcf.waybackmachine.org/web/20221016073741im_/https://habrastorage.org/getpro/habr/upload_files/8a4/87d/06e/8a487d06ebb452ca0d5ed273eb19f73b.png)
Всем привет! В Sysmon v14.1 появился новый тип событий с ID 28, но начну немножко издалека. Прошло совсем не много времени, как популярный инструмент для отслеживания и регистрации действий системы, логирования по-простому, обновился до версии 14. В 14 версии появилось произошли существенные изменения в Sysmon - инструмент научили не только логировать, но и блокировать: появилось событие с идентификатором 27 FileBlockExecutable. Это позволило, например, блокировать запуск исполняемых файлов, загруженных MS Office, блокировать запуск файлов с "двойным расширением" .pdf.exe или docx.exe, блокировать запуск загруженных скриптов и многое другое. Пример хорошего конфига для Sysmon можно посмотреть у Ion-storm
Не все все еще успели освоить события ID 27, как 29 сентября появляется Sysmon версии 14.1. В данной версии возможности по блокированию процессов расширили еще больше. Появилось событие с идентификатором 28: FileBlockShredding. Как кратко гласит описание, это событие создается, когда Sysmon обнаруживает и блокирует измельчение файлов из таких средств, как SDelete. Решил проверить, сможет ли мне пригодится данная возможность, например, для защиты какого-нибудь произвольного .evtx файла от "безопасного удаления", а если точнее, то от удаления без возможности восстановления. За инструментом удаления далеко ходить не стал и скачал SDelete. Конфиг для Sysmon взял опять же от Ion-storm (Построен на матрице MITRE ATT&CK, адаптирован к SIEM, регулярно обновляется, автор принимает предложения и замечания). Ниже фрагмент конфига по ID 28.