跳至正文
KYRA MDR KYRA MDR Docs

Windows 事件日志集成

本指南介绍如何在 Windows 端点上安装 KYRA EDR 代理，以收集和转发 Windows Security、System 和 Sysmon 事件日志到 KYRA MDR。

支持版本： Windows 10/11、Windows Server 2016、2019、2022、2025

前提条件

  • 已安装并运行的 KYRA MDR Collector（安装指南）
  • Windows 管理员访问权限
  • 到收集器或直接到 KYRA 平台的网络连接

步骤 1：安装 KYRA EDR 代理

PowerShell（推荐）

以管理员身份运行 PowerShell：

Terminal window
# 下载并安装 KYRA EDR 代理
Invoke-WebRequest -Uri "https://install.kyra.ai/edr/windows" -OutFile "$env:TEMP\kyra-edr-setup.msi"
Start-Process msiexec.exe -ArgumentList "/i $env:TEMP\kyra-edr-setup.msi TENANT_ID=your-tenant-id API_KEY=your-api-key /quiet" -Wait

代理将：

  1. 作为 Windows 服务安装（KYRA EDR Agent）
  2. 订阅 Security、System 和 Application 事件通道
  3. 开始将事件转发到 KYRA Collector 或平台

组策略部署

通过 Active Directory GPO 部署到多个端点：

  1. 从 控制台 > 设置 > 下载 下载 MSI
  2. 创建包含租户 ID 和 API 密钥的 transform.mst 文件
  3. 通过 计算机配置 > 策略 > 软件设置 > 软件安装 部署

步骤 2：配置 Windows 审计策略

Windows 默认不记录许多关键事件。启用推荐的审计策略以获取有意义的安全遥测数据。

使用组策略（GPO）

导航到 计算机配置 > 策略 > Windows 设置 > 安全设置 > 高级审计策略配置：

类别子类别设置
帐户登录凭据验证成功、失败
帐户登录Kerberos 认证服务成功、失败
帐户管理用户帐户管理成功、失败
帐户管理安全组管理成功、失败
登录/注销登录成功、失败
登录/注销特殊登录成功
对象访问文件系统失败
策略变更审计策略变更成功
特权使用敏感特权使用成功、失败
进程创建进程创建成功
系统安全状态变更成功

使用 PowerShell

Terminal window
# 启用关键审计策略
auditpol /set /subcategory:"Logon" /success:enable /failure:enable
auditpol /set /subcategory:"Credential Validation" /success:enable /failure:enable
auditpol /set /subcategory:"User Account Management" /success:enable /failure:enable
auditpol /set /subcategory:"Security Group Management" /success:enable /failure:enable
auditpol /set /subcategory:"Special Logon" /success:enable
auditpol /set /subcategory:"Process Creation" /success:enable
auditpol /set /subcategory:"Audit Policy Change" /success:enable


# 启用进程创建事件中的命令行日志
reg add "HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\System\Audit" /v ProcessCreationIncludeCmdLine_Enabled /t REG_DWORD /d 1 /f

重要： 启用命令行进程审计 — 不启用的话，事件 ID 4688 只显示进程名称而非完整命令。这对于检测无文件恶意软件和 LOLBins（Living Off the Land Binaries）至关重要。

步骤 3：安装 Sysmon（推荐）

Microsoft Sysmon 提供的详细进程、网络和文件活动日志远超原生 Windows 事件。

Terminal window
# 下载 Sysmon
Invoke-WebRequest -Uri "https://live.sysinternals.com/Sysmon64.exe" -OutFile "$env:TEMP\Sysmon64.exe"


# 下载 KYRA 推荐的 Sysmon 配置
Invoke-WebRequest -Uri "https://install.kyra.ai/sysmon/config.xml" -OutFile "$env:TEMP\sysmonconfig.xml"


# 使用配置安装 Sysmon
& "$env:TEMP\Sysmon64.exe" -accepteula -i "$env:TEMP\sysmonconfig.xml"

KYRA EDR 代理会自动从 Microsoft-Windows-Sysmon/Operational 通道收集 Sysmon 事件。

监控的关键事件 ID

Windows 安全事件

事件 ID类别描述检测用途
4624登录成功登录横向移动、异常访问
4625登录登录失败暴力破解、密码喷洒
4648登录显式凭据登录哈希传递、凭据盗用
4672登录分配特殊权限权限提升
4688进程新进程创建恶意软件执行、LOLBins
4697系统服务已安装持久化、后门安装
4720帐户用户帐户创建未授权帐户创建
4722帐户用户帐户启用休眠帐户激活
4728帐户成员添加到安全组权限提升
4732帐户成员添加到本地组本地管理员提权
4768Kerberos请求 Kerberos TGT票据传递、黄金票据
4769Kerberos请求 Kerberos 服务票据Kerberoasting
4776凭据凭据验证NTLM 认证监控
5156防火墙Windows 防火墙允许连接网络活动基线
7045系统新服务安装持久化机制

Sysmon 事件

事件 ID描述检测用途
1进程创建（含哈希）恶意软件检测、LOLBin 滥用
3网络连接C2 通信、数据泄露
7镜像加载（DLL）DLL 注入、侧加载
8CreateRemoteThread进程注入
10进程访问凭据转储（LSASS）
11文件创建投放器检测、暂存
13注册表值设置持久化、配置变更
22DNS 查询C2 域名查询、DNS 隧道

步骤 4：验证事件是否在流动

在 Windows 端点上

Terminal window
# 检查 KYRA EDR 代理是否在运行
Get-Service "KYRA EDR Agent"


# 查看近期代理日志
Get-Content "C:\ProgramData\KYRA\EDR\logs\agent.log" -Tail 20


# 验证事件订阅是否活跃
wevtutil qe "KYRA-EDR/Operational" /c:5 /rd:true /f:text

在 KYRA 控制台中

  1. 前往 日志搜索
  2. 按 source_type:windows 过滤或搜索您的主机名
  3. 您应看到 Windows 安全事件（4624、4625 等）
  4. 如果安装了 Sysmon，搜索 source_type:sysmon

生成测试事件

Terminal window
# 生成登录失败事件（事件 ID 4625）
net use \\localhost\IPC$ /user:TESTUSER wrongpassword 2>$null


# 生成进程创建事件（事件 ID 4688/Sysmon 1）
cmd.exe /c whoami


# 生成帐户管理事件（事件 ID 4720）
# 警告：这会创建一个实际用户 — 仅在测试系统上使用
net user KYRATest P@ssw0rd123 /add
net user KYRATest /delete

检测规则

KYRA MDR 包含针对 Windows 事件的内置检测规则：

检测事件 IDMITRE ATT&CK描述
暴力破解4625T1110短时间内多次登录失败
哈希传递4624（类型 3）T1550.002来自异常来源的 NTLM 登录
Kerberoasting4769T1558.003RC4 加密服务票据请求
LSASS 访问Sysmon 10T1003.001进程访问 LSASS 内存
可疑进程4688/Sysmon 1T1059已知攻击工具（mimikatz、psexec 等）
新服务7045T1543.003从异常路径安装的服务
管理员组变更4728/4732T1098用户被添加到特权组
计划任务4698T1053.005新创建的计划任务

故障排除

控制台中无事件

  1. 代理运行中？ 检查 Get-Service "KYRA EDR Agent"
  2. 审计策略已启用？ 运行 auditpol /get /category:* 验证
  3. 防火墙？ 确保代理可以访问收集器或 ingest.seekerslab.com:443
  4. 事件日志权限？ 代理以 LOCAL SYSTEM 身份运行，应有访问权限

缺少进程事件

  • 验证 进程创建 审计已启用：auditpol /get /subcategory:"Process Creation"
  • 通过步骤 2 中的注册表键启用命令行日志
  • 安装 Sysmon 以获取更丰富的进程遥测

CPU 或内存使用率过高

KYRA EDR 代理通常使用不到 1% 的 CPU 和 50 MB 内存。如果使用率过高：

  1. 检查 C:\ProgramData\KYRA\EDR\logs\agent.log 中的错误日志
  2. 验证 Sysmon 配置是否过于宽泛（例如记录所有网络连接）
  3. 重启代理：Restart-Service "KYRA EDR Agent"