Skip to content

Commit 2b5cedc

Browse files
MichalSoltysikSOCMichalSoltysikSOC
authored
Add files via upload
1 parent 6fdc2f8 commit 2b5cedc

9 files changed

Lines changed: 610 additions & 0 deletions

‎v1.0/LiveProcessMonitor.exe‎

79 KB
Binary file not shown.

‎v1.0/LiveProcessMonitor.zip‎

27.1 KB
Binary file not shown.

‎v1.0/LiveProcessMonitorPlus.exe‎

84 KB
Binary file not shown.

‎v1.0/LiveProcessMonitorPlus.zip‎

29 KB
Binary file not shown.

‎v1.0/LiveProcessMonitorPlus_READ_ME_EN.txt‎

Lines changed: 112 additions & 0 deletions
Original file line numberDiff line numberDiff line change
@@ -0,0 +1,112 @@
1+
Tool name: LiveProcessMonitorPlus.exe
2+
3+
Version: 1.0
4+
SHA256 checksum: 10972FBECE7EFB6F349C1B377B39F2E77B5BCA8F511F9CAB1E67181B1926735E
5+
File Size: 84,0 KB
6+
Written in C#, targeting the .NET Framework.
7+
Compiled into a Windows GUI .exe executable file with an MZ file header.
8+
9+
Author: Michał Sołtysik
10+
Cybersecurity Analyst & Consultant | Forensics Examiner | SOC Trainer | Cyber Warfare Organizer
11+
Official website: https://michalsoltysik.com/
12+
LinkedIn: https://www.linkedin.com/in/michal-soltysik-ssh-soc/
13+
Cybersecurity content: https://www.youtube.com/playlist?list=PL0RdRWQWldOAAKBqOVEutxKMP-a6CNoLY
14+
Accredible: https://www.credential.net/profile/michalsoltysik/wallet
15+
Credly: https://www.credly.com/users/michal-soltysik
16+
Email: me@michalsoltysik.com
17+
18+
Purpose: Live Process Monitor Plus extends the baseline-driven monitoring model by correlating native Windows telemetry with optional Sysmon event data, providing deeper timeline visibility while preserving the same workflow and user interface principles.
19+
License: Free for personal and commercial use.
20+
21+
Prerequisite:
22+
23+
(1) Use of Sysmon-based enrichment requires conscious awareness of and compliance with the Sysmon license terms and conditions as published by Microsoft.
24+
(2) To enable Sysmon-based enrichment features in Live Process Monitor Plus, Sysmon must be installed, running, and configured with a compatible configuration file.
25+
(3) The following Sysmon configuration is required to ensure full Live Process Monitor Plus functionality:
26+
27+
<Sysmon schemaversion="4.90">
28+
<HashAlgorithms>SHA256</HashAlgorithms>
29+
<EventFiltering>
30+
<ProcessCreate onmatch="include">
31+
<Image condition="contains">.exe</Image>
32+
</ProcessCreate>
33+
<ProcessTerminate onmatch="include">
34+
<Image condition="contains">.exe</Image>
35+
</ProcessTerminate>
36+
<NetworkConnect onmatch="include">
37+
<Image condition="contains">.exe</Image>
38+
</NetworkConnect>
39+
</EventFiltering>
40+
</Sysmon>
41+
42+
(4) Alternatively, SysmonConfigurator.exe can be used to configure Sysmon automatically. Its menu provides the following options:
43+
44+
1. Quick Sysmon status check
45+
2. Download and extract Sysmon (C:\Scripts\Sysmon)
46+
3. Create or overwrite Sysmon config (C:\Scripts\SysmonLiveProcessMonitorConfig.xml)
47+
4. Install Sysmon using config (auto-locate Sysmon)
48+
5. Reconfigure Sysmon using config (auto-locate Sysmon)
49+
6. Uninstall Sysmon (auto-locate Sysmon)
50+
7. Sysmon telemetry verification (Event ID 1, 3, 5 - last 15 minutes)
51+
8. Exit
52+
53+
File name: SysmonConfigurator.exe
54+
SHA256 checksum: A5E94D062E3B379E0070B39E695342D7FBA4D5EEF23B834BE3AEF9ACDA9C98DE
55+
56+
Note: SysmonConfigurator.exe is included in the same repository as Live Process Monitor Plus.
57+
58+
Note: SysmonConfigurator.exe relies on the current official Microsoft Sysinternals download location and command-line parameters for Sysmon. If Microsoft changes the download URL (currently https://download.sysinternals.com/files/Sysmon.zip) or modifies Sysmon command-line parameters, the automatic download or configuration functionality may no longer work as expected and will require an update to this tool. In such cases, the issue should be reported to the author of the tool so that the implementation can be reviewed and updated accordingly.
59+
60+
Sysmon-based enrichment (optional):
61+
62+
When Sysmon is installed, running, and properly configured, Live Process Monitor Plus enriches process and network data with additional low-level telemetry:
63+
64+
(1) Correlates Sysmon Event ID 1 (Process creation) with existing process rows.
65+
(2) Correlates Sysmon Event ID 5 (Process terminated) to record precise termination times.
66+
(3) Correlates Sysmon Event ID 3 (Network connection detected) with existing or newly observed network connections.
67+
(4) Displays all observed Sysmon Event IDs (1, 3, 5) per process in a dedicated column.
68+
(5) Adds explicit Sysmon-based timestamps for process creation and termination.
69+
70+
Important behavior:
71+
72+
(1) Sysmon data is inactive during baseline creation.
73+
(2) Sysmon monitoring becomes active only after clicking Resume Monitoring After Baseline Creation.
74+
(3) All Sysmon events occurring before post-baseline monitoring are treated as baseline context.
75+
76+
Note: If Sysmon is not available, the application remains fully functional using native Windows telemetry.
77+
78+
Extended network connection tracking:
79+
80+
Live Process Monitor Plus extends Live Process Monitor with a more complete connection lifecycle view:
81+
82+
(1) Tracks TCP connection start time, last seen time, and end time.
83+
(2) Distinguishes between:
84+
85+
- Active connections.
86+
- Ended connections observed via polling.
87+
- Connection attempts observed only via Sysmon (shown as ATTEMPTED).
88+
89+
(3) Retains ended connections in the session history instead of removing them immediately.
90+
(4) Correlates Sysmon network events with polling-based TCP and UDP snapshots.
91+
92+
Note: Connection colours still follow the owning process classification. Connection state changes are reflected in columns, not via colour transitions.
93+
94+
Summary of Plus-specific capabilities:
95+
96+
Live Process Monitor Plus provides additional analytical depth by:
97+
98+
(1) Combining native Windows process and network telemetry with optional Sysmon event data (Event IDs 1, 3, and 5).
99+
(2) Preserving a detailed timeline of process execution and network activity, including short-lived and rapidly terminating processes.
100+
(3) Using two independent evidence sources - polling-based system telemetry and event-based Sysmon logs - to reliably distinguish baseline context from true post-baseline behavior.
101+
102+
Limitations and operational notes:
103+
104+
(1) Sysmon-based enrichment is optional and conditional. If Sysmon is not installed, not running, or not configured with the required Event IDs, Plus-specific enrichment based on Sysmon data will not be added to the results.
105+
(2) In the absence of Sysmon telemetry, Live Process Monitor Plus operates using native Windows mechanisms only. All core baseline and post-baseline monitoring remains fully functional, but the following Plus-specific capabilities will be unavailable:
106+
107+
- Sysmon-based process creation and termination timestamps.
108+
- Correlation of Sysmon network connection events.
109+
- Identification of connection attempts observed only via Sysmon (ATTEMPTED state).
110+
111+
(3) Sysmon data is collected only during post-baseline monitoring. Events occurring before clicking Resume Monitoring After Baseline Creation are treated as baseline context and are not used for post-baseline correlation.
112+
(4) Sysmon availability and configuration are outside the control of the application. Users are responsible for ensuring that Sysmon is installed, running, and configured with the recommended Event IDs for full Plus functionality.

‎v1.0/LiveProcessMonitorPlus_READ_ME_PL.txt‎

Lines changed: 113 additions & 0 deletions
Original file line numberDiff line numberDiff line change
@@ -0,0 +1,113 @@
1+
Nazwa narzędzia: LiveProcessMonitorPlus.exe
2+
3+
Wersja: 1.0
4+
Suma kontrolna SHA256: 10972FBECE7EFB6F349C1B377B39F2E77B5BCA8F511F9CAB1E67181B1926735E
5+
Rozmiar pliku: 84,0 KB
6+
Napisane w języku C#, z przeznaczeniem dla platformy .NET Framework.
7+
Skompilowane jako aplikacja Windows GUI w postaci pliku wykonywalnego .exe z nagłówkiem pliku MZ.
8+
9+
Autor: Michał Sołtysik
10+
Cybersecurity Analyst & Consultant | Forensics Examiner | SOC Trainer | Cyber Warfare Organizer
11+
Analityk i Konsultant ds. Bezpieczeństwa Cybernetycznego | Ekspert ds. Informatyki Śledczej | Trener SOC (Centrum Operacji Bezpieczeństwa Cybernetycznego) | Organizator Działań w Cyberwojnie
12+
Oficjalna strona: https://michalsoltysik.com/
13+
LinkedIn: https://www.linkedin.com/in/michal-soltysik-ssh-soc/
14+
Treści z zakresu cyberbezpieczeństwa: https://www.youtube.com/playlist?list=PL0RdRWQWldOAAKBqOVEutxKMP-a6CNoLY
15+
Accredible: https://www.credential.net/profile/michalsoltysik/wallet
16+
Credly: https://www.credly.com/users/michal-soltysik
17+
Email: me@michalsoltysik.com
18+
19+
Cel: Live Process Monitor Plus rozszerza model monitorowania oparty na baseline poprzez korelację natywnej telemetrii systemu Windows z opcjonalnymi danymi zdarzeń Sysmona, zapewniając głębszą widoczność osi czasu zdarzeń przy zachowaniu tego samego przepływu pracy oraz zasad interfejsu użytkownika.
20+
Licencja: Darmowa do użytku prywatnego i komercyjnego.
21+
22+
Wymagania wstępne:
23+
24+
(1) Korzystanie z mechanizmu wzbogacania danych o telemetrię Sysmon wymaga świadomego zapoznania się z warunkami licencyjnymi Sysmona opublikowanymi przez firmę Microsoft oraz ich akceptacji.
25+
(2) Aby włączyć funkcje wzbogacania danych oparte na Sysmonie w narzędziu Live Process Monitor Plus, Sysmon musi być zainstalowany, uruchomiony oraz skonfigurowany z użyciem kompatybilnego pliku konfiguracyjnego.
26+
(3) Poniższa konfiguracja Sysmona jest wymagana do zapewnienia pełnej funkcjonalności Live Process Monitor Plus:
27+
28+
<Sysmon schemaversion="4.90">
29+
<HashAlgorithms>SHA256</HashAlgorithms>
30+
<EventFiltering>
31+
<ProcessCreate onmatch="include">
32+
<Image condition="contains">.exe</Image>
33+
</ProcessCreate>
34+
<ProcessTerminate onmatch="include">
35+
<Image condition="contains">.exe</Image>
36+
</ProcessTerminate>
37+
<NetworkConnect onmatch="include">
38+
<Image condition="contains">.exe</Image>
39+
</NetworkConnect>
40+
</EventFiltering>
41+
</Sysmon>
42+
43+
(4) Alternatywnie do ręcznej konfiguracji można użyć narzędzia SysmonConfigurator.exe, które automatycznie konfiguruje Sysmona. Menu aplikacji udostępnia następujące opcje:
44+
45+
1. Szybkie sprawdzenie stanu Sysmona 1. Quick Sysmon status check
46+
2. Pobranie i rozpakowanie Sysmona (C:\Scripts\Sysmon) 2. Download and extract Sysmon (C:\Scripts\Sysmon)
47+
3. Utworzenie lub nadpisanie konfiguracji Sysmona (C:\Scripts\SysmonLiveProcessMonitorConfig.xml) 3. Create or overwrite Sysmon config (C:\Scripts\SysmonLiveProcessMonitorConfig.xml)
48+
4. Instalacja Sysmona z użyciem konfiguracji (automatyczne wykrywanie Sysmona) 4. Install Sysmon using config (auto-locate Sysmon)
49+
5. Ponowna konfiguracja Sysmona z użyciem konfiguracji (automatyczne wykrywanie Sysmona) 5. Reconfigure Sysmon using config (auto-locate Sysmon)
50+
6. Odinstalowanie Sysmona (automatyczne wykrywanie Sysmona) 6. Uninstall Sysmon (auto-locate Sysmon)
51+
7. Weryfikacja telemetrii Sysmona (Event ID 1, 3, 5 - ostatnie 15 minut) 7. Sysmon telemetry verification (Event ID 1, 3, 5 - last 15 minutes)
52+
8. Wyjście 8. Exit
53+
54+
Nazwa pliku: SysmonConfigurator.exe
55+
Suma kontrolna SHA256: A5E94D062E3B379E0070B39E695342D7FBA4D5EEF23B834BE3AEF9ACDA9C98DE
56+
57+
Uwaga: SysmonConfigurator.exe znajduje się w tym samym repozytorium co Live Process Monitor Plus.
58+
59+
Uwaga: SysmonConfigurator.exe korzysta z aktualnej, oficjalnej lokalizacji pobierania narzędzia Sysmon udostępnianej przez Microsoft Sysinternals oraz z obowiązujących parametrów linii poleceń dla Sysmona. Jeżeli Microsoft zmieni adres URL pobierania (obecnie https://download.sysinternals.com/files/Sysmon.zip) lub zmodyfikuje parametry linii poleceń Sysmona, funkcjonalność automatycznego pobierania lub konfiguracji może przestać działać zgodnie z oczekiwaniami i będzie wymagać aktualizacji tego narzędzia. W takim przypadku problem powinien zostać zgłoszony autorowi narzędzia w celu przeglądu i odpowiedniej aktualizacji implementacji.
60+
61+
Wzbogacanie danych oparte na Sysmonie (opcjonalne):
62+
63+
Gdy Sysmon jest zainstalowany, uruchomiony i poprawnie skonfigurowany, Live Process Monitor Plus wzbogaca dane o procesach i aktywności sieciowej o dodatkową, niskopoziomową telemetrię:
64+
65+
(1) Koreluje zdarzenia Sysmon Event ID 1 (utworzenie procesu) z istniejącymi wierszami procesów.
66+
(2) Koreluje zdarzenia Sysmon Event ID 5 (zakończenie procesu), umożliwiając precyzyjne rejestrowanie czasu zakończenia procesu.
67+
(3) Koreluje zdarzenia Sysmon Event ID 3 (próby oraz nawiązania połączeń sieciowych) z istniejącymi lub nowo zaobserwowanymi połączeniami.
68+
(4) Wyświetla wszystkie zaobserwowane zdarzenia Sysmona (Event ID 1, 3 i 5) przypisane do danego procesu w dedykowanej kolumnie.
69+
(5) Dodaje jednoznaczne znaczniki czasu oparte na Sysmonie dla momentu utworzenia i zakończenia procesu.
70+
71+
Istotne zachowanie aplikacji:
72+
73+
(1) Dane z Sysmona są nieaktywne podczas tworzenia baseline.
74+
(2) Monitorowanie oparte na Sysmonie uaktywnia się dopiero po kliknięciu Wznów monitorowanie po utworzeniu baseline / Resume Monitoring After Baseline Creation.
75+
(3) Wszystkie zdarzenia Sysmona występujące przed rozpoczęciem monitorowania po baseline są traktowane wyłącznie jako kontekst baseline.
76+
77+
Uwaga: Jeżeli Sysmon nie jest dostępny, aplikacja pozostaje w pełni funkcjonalna, korzystając wyłącznie z natywnej telemetrii systemu Windows.
78+
79+
Rozszerzone śledzenie połączeń sieciowych:
80+
81+
Live Process Monitor Plus rozszerza możliwości Live Process Monitor, zapewniając pełniejszy wgląd w cykl życia połączeń sieciowych:
82+
83+
(1) Śledzi czas rozpoczęcia połączenia TCP, czas ostatniej obserwacji oraz moment jego zakończenia.
84+
(2) Rozróżnia:
85+
86+
- połączenia aktywne,
87+
- połączenia zakończone wykryte w wyniku cyklicznego odpytywania systemu,
88+
- próby połączeń zaobserwowane wyłącznie przez Sysmona (stan: próba połączenia / ATTEMPTED).
89+
90+
(3) Zachowuje zakończone połączenia w historii sesji zamiast usuwać je natychmiast.
91+
(4) Koreluje zdarzenia sieciowe Sysmona z migawkami TCP i UDP zbieranymi metodą odpytywania systemu.
92+
93+
Uwaga: Kolory połączeń nadal wynikają z klasyfikacji procesu właścicielskiego. Zmiany stanu połączenia są odzwierciedlane wyłącznie w kolumnach tabeli, a nie poprzez zmianę koloru.
94+
95+
Podsumowanie funkcji charakterystycznych dla wersji Plus:
96+
97+
Live Process Monitor Plus zapewnia dodatkową głębię analityczną poprzez:
98+
99+
(1) Łączenie natywnej telemetrii procesów i sieci systemu Windows z opcjonalnymi danymi zdarzeń Sysmona (Event ID 1, 3 i 5).
100+
(2) Zachowanie szczegółowej osi czasu wykonania procesów oraz aktywności sieciowej, w tym procesów krótkotrwałych i szybko kończących działanie.
101+
(3) Wykorzystanie dwóch niezależnych źródeł dowodowych - telemetrii systemowej opartej na odpytywaniu oraz dziennika zdarzeń Sysmona - w celu wiarygodnego rozróżnienia kontekstu baseline od rzeczywistego zachowania po baseline.
102+
103+
Ograniczenia i uwagi operacyjne:
104+
105+
(1) Wzbogacanie danych oparte na Sysmonie jest opcjonalne i warunkowe. Jeżeli Sysmon nie jest zainstalowany, nie jest uruchomiony lub nie jest skonfigurowany z wymaganymi identyfikatorami zdarzeń, funkcje wzbogacania specyficzne dla wersji Plus nie będą dostępne.
106+
(2) W przypadku braku telemetrii Sysmona, Live Process Monitor Plus działa wyłącznie w oparciu o natywne mechanizmy systemu Windows. Cała podstawowa funkcjonalność monitorowania baseline i monitorowania po baseline pozostaje w pełni dostępna, jednak niedostępne będą:
107+
108+
- znaczniki czasu utworzenia i zakończenia procesu oparte na Sysmonie,
109+
- korelacja zdarzeń sieciowych pochodzących z Sysmona,
110+
- identyfikacja prób połączeń zaobserwowanych wyłącznie przez Sysmona (stan: próba połączenia / ATTEMPTED).
111+
112+
(3) Dane Sysmona są zbierane wyłącznie podczas monitorowania po baseline. Zdarzenia występujące przed kliknięciem Wznów monitorowanie po utworzeniu baseline / Resume Monitoring After Baseline Creation są traktowane jako kontekst baseline i nie są wykorzystywane do korelacji po baseline.
113+
(4) Dostępność i konfiguracja Sysmona pozostają poza kontrolą aplikacji. Odpowiedzialność za instalację, uruchomienie oraz konfigurację Sysmona z rekomendowanymi identyfikatorami zdarzeń spoczywa na użytkowniku.

‎v1.0/LiveProcessMonitorTools.zip‎

72.8 KB
Binary file not shown.

0 commit comments

Comments
 (0)