Блог

Главная - Вопросы по программированию - Как установить Sysmon с конфигурационным файлом на удаленной машине

Как установить Sysmon с конфигурационным файлом на удаленной машине

#powershell #shell #remote-access #remoting

#powershell #оболочка #удаленный доступ #удаленное управление

Вопрос:

Задача, которую я пытаюсь выполнить

программа, которая копирует Sysmon на удаленные компьютеры и устанавливает его с заданным файлом конфигурации, который улавливает все события, перечисленные в спецификациях.

Я могу успешно скопировать все файлы.Но когда я пытаюсь запустить установщик sysmon64.exe на удаленной машине это выдает мне сообщение об ошибке.

PS C:UsersAdministrator > C:UsersAdministratorDocumentsSysmon.ps1

Ошибка:

 System Monitor v12.0 - System activity monitor
Copyright (C) 2014-2020 Mark Russinovich and Thomas Garnier
Sysinternals - www.sysinternals.com

NotSpecified: (:String) [], RemoteException
      CategoryInfo          : NotSpecified: (:String) [], RemoteException
      FullyQualifiedErrorId : NativeCommandError
      PSComputerName        : 192.168.0.5
 

Usage:
Install:                 c:windowscpsysmonSysmon64.exe -i [<configfile>]
Update configuration:    c:windowscpsysmonSysmon64.exe -c [<configfile>]
Install event manifest:  c:windowscpsysmonSysmon64.exe -m
Print schema:            c:windowscpsysmonSysmon64.exe -s
Uninstall:               c:windowscpsysmonSysmon64.exe -u [force]
  -c   Update configuration of an installed Sysmon driver or dump the
       current configuration if no other argument is provided. Optionally
       take a configuration file.
  -i   Install service and driver. Optionally take a configuration file.
  -m   Install the event manifest (done on service install as well).
  -s   Print configuration schema definition of the specified version.
       Specify 'all' to dump all schema versions (default is latest).
  -u   Uninstall service and driver. Adding force causes uninstall to proceed
       even when some components are not installed.

The service logs events immediately and the driver installs as a boot-start driver to capture activity from early in the boot that the service will write to the event 
log when it starts.
On Vista and higher, events are stored in "Applications and Services Logs/Microsoft/Windows/Sysmon/Operational". On older systems, events are written to the System 
event log.
Use the '-? config' command for configuration file documentation.More examples are available on the Sysinternals website.
Specify -accepteula to automatically accept the EULA on installation, otherwise you will be interactively prompted to accept it.
Neither install nor uninstall requires a reboot.

Скрипт

 $Session = New-PSSession -ComputerName 192.168.0.5 -Credential "StudyAdministrator"

Copy-Item "C:UsersAdministratorDesktopSysmon*.*" -ToSession $Session -Destination C:Windowscpsysmon  -Recurse

Invoke-Command -Session $session -ScriptBlock {cmd.exe /C "c:windowscpsysmonSysmon64.exe" /silent -Wait}

Комментарии:

1. Извините! Я пытаюсь установить Sysmon на удаленной машине, которая является частью домена. Я могу скопировать, но не могу запустить программу установки, которую я успешно скопировал.

2. Я думаю, что ошибка — это «RemoteException»

3. @KenWhite обновил сообщение для ясности! Спасибо!

4. Каждый раз, когда я пытаюсь запустить программу установки, куда я ее скопировал. Это выдает мне указанную выше ошибку. Как ни странно, он отображает информацию об использовании SYSMON, но не запускает sysmon64.exe .

Ответ №1:

Я думаю, вам просто нужно заменить

 cmd.exe /C "c:windowscpsysmonSysmon64.exe" /silent -Wait

Автор:

 cmd.exe /C "c:windowscpsysmonSysmon64.exe" -i -n -accepteula