Sysmon Event-ID 3: Netzwerkverbindung

Sysmon Event 3 ("Network connection detected") protokolliert TCP- und UDP-Verbindungen und ordnet sie dem Prozess zu, der sie aufgebaut oder angenommen hat. Genau diese Zuordnung fehlt in Firewall- und Proxy-Logs. Dort siehst du nur, dass ein Rechner mit einer IP gesprochen hat, hier siehst du, dass es rundll32.exe war.

Die wichtigsten Felder

• Image und ProcessGuid: der Prozess hinter der Verbindung. Über die GUID findest du das zugehörige Event 1 mit Kommandozeile und Elternprozess.
• Initiated: true für ausgehende, false für eingehende Verbindungen.
• SourceIp, SourcePort, DestinationIp, DestinationPort: die Verbindungsdaten.
• DestinationHostname: der aufgelöste Hostname, sofern verfügbar.
• Protocol und User: Protokoll und Benutzerkontext.

Worauf du bei der Detection achtest

• Bordmittel mit Internetverbindung: rundll32, regsvr32, mshta, msbuild oder certutil, die externe Adressen kontaktieren, sind klassische Loader- und C2-Muster.
• Office-Programme mit Verbindungen zu unbekannten Zielen: Hinweis auf Template Injection oder Makros, die Payloads nachladen.
• Beaconing: derselbe Prozess verbindet sich in sehr regelmäßigen Abständen mit demselben Ziel. Auswertung im SIEM über Zeitabstände und deren Streuung.
• Lateral Movement intern: ungewöhnliche Verbindungen auf Port 445 (SMB), 135 (RPC/WMI), 5985 und 5986 (WinRM) oder 3389 (RDP) zwischen Workstations.
• Ungewöhnliche Ports: Prozesse aus Benutzerverzeichnissen, die direkt auf hohe Ports oder bekannte Tor- und VPS-Adressbereiche verbinden.

Typische False Positives

Browser, Collaboration-Tools, Update-Dienste und Cloud-Sync-Clients erzeugen enorme Mengen an Verbindungen. Die meisten Konfigurationen protokollieren Event 3 deshalb nur für ausgewählte Prozesse und Ports. Prüfe genau, was deine Konfiguration erfasst. Eine Regel, die auf Event 3 für msbuild.exe wartet, feuert nie, wenn der Prozess gar nicht mitgeschrieben wird.

Voraussetzung

Event 3 ist in der Standard-Konfiguration von Sysmon deaktiviert und muss über <NetworkConnect> in der Konfigurationsdatei eingeschaltet werden. Wegen des Volumens empfiehlt sich ein Include-Ansatz für verdächtige Prozesse und Ports statt einer vollständigen Protokollierung.

Sigma-Regel (Beispiel)

title: Bordmittel baut Verbindung ins Internet auf
id: 163a3f7a-ef15-45ed-89bb-87963280bad6
status: experimental
description: Erkennt ausgehende Verbindungen von Windows-Bordmitteln, die normalerweise keine Internetverbindung benoetigen und haeufig fuer Downloads oder C2 missbraucht werden.
references:
  - https://attack.mitre.org/techniques/T1105/
author: blue-team.net
tags:
  - attack.command-and-control
  - attack.t1105
logsource:
  product: windows
  category: network_connection
detection:
  selection:
    Initiated: 'true'
    Image|endswith:
      - '\rundll32.exe'
      - '\regsvr32.exe'
      - '\mshta.exe'
      - '\certutil.exe'
      - '\msbuild.exe'
      - '\wscript.exe'
      - '\cscript.exe'
  filter_private:
    DestinationIp|cidr:
      - '10.0.0.0/8'
      - '172.16.0.0/12'
      - '192.168.0.0/16'
      - '127.0.0.0/8'
  condition: selection and not filter_private
falsepositives:
  - Einzelne Anwendungen, die rundll32 fuer Update-Pruefungen nutzen
level: high

Beispielregel als Ausgangspunkt. Vor dem produktiven Einsatz an die eigene Umgebung, Log-Quellen und Ausnahmen anpassen.

Verwandte Event-IDs

• 1 Prozess erstellt
• 22 DNS-Abfrage
• 17 Named Pipe erstellt und verbunden
• 11 Datei erstellt
• 5156 Netzwerkverbindung erlaubt oder blockiert
• 4624 Erfolgreiche Anmeldung
• 59 BITS-Auftrag erstellt und Übertragung gestartet