<Sysmon schemaversion="4.81">
  <HashAlgorithms>sha256</HashAlgorithms>
  
  <EventFiltering>
    
    <RuleGroup name="Terminate_Silence" groupRelation="or">
      <ProcessTerminate onmatch="include">
        <Image condition="is">THIS_PROCESS_WILL_NEVER_EXIST_12345</Image>
      </ProcessTerminate>
    </RuleGroup>

    <RuleGroup name="ProcessCreate_Security" groupRelation="or">
      
      <ProcessCreate onmatch="exclude">
        <Image condition="end with">gnome-shell</Image>       <Image condition="end with">tracker-miner-fs-3</Image> <Image condition="end with">vmtoolsd</Image>           <Image condition="is">&lt;unknown process&gt;</Image>  <CommandLine condition="contains">tmux-continuum</CommandLine>      <CommandLine condition="contains">continuum_save.sh</CommandLine>   <CommandLine condition="contains">check_tmux_version.sh</CommandLine> <CommandLine condition="contains">cpuUsage.sh</CommandLine>    <CommandLine condition="contains">extensionHost</CommandLine>  <CommandLine condition="contains">which ps</CommandLine>       <CommandLine condition="contains">/usr/bin/ps</CommandLine>    </ProcessCreate>
      
      <ProcessCreate onmatch="include">
        <Image condition="end with">bash</Image>
        <Image condition="end with">sh</Image>
        <Image condition="end with">dash</Image>
        <Image condition="end with">zsh</Image>
        
        <Image condition="end with">sudo</Image>
        <Image condition="end with">su</Image>
        
        <Image condition="end with">python3</Image>
        <Image condition="end with">perl</Image>
        <Image condition="end with">gcc</Image>
        <Image condition="end with">g++</Image>
        
        <Image condition="end with">curl</Image>
        <Image condition="end with">wget</Image>
        <Image condition="end with">nc</Image>   <Image condition="end with">ncat</Image>
        <Image condition="end with">ssh</Image>  <Image condition="end with">scp</Image>  <Image condition="end with">ftp</Image>
        <Image condition="end with">socat</Image>
      </ProcessCreate>
    </RuleGroup>

    <RuleGroup name="Network_Security" groupRelation="or">
      <NetworkConnect onmatch="include">
        <Image condition="end with">curl</Image>
        <Image condition="end with">wget</Image>
        <Image condition="end with">nc</Image>
        
        <Image condition="end with">bash</Image>
        <Image condition="end with">sh</Image>
        
        <Image condition="end with">python3</Image>
        
        <Image condition="end with">ssh</Image>
      </NetworkConnect>
    </RuleGroup>

  </EventFiltering>
</Sysmon>

import sys
import xml.etree.ElementTree as ET

# ==============================================================================
# [스크립트 설명]
# Sysmon for Linux가 생성하는 XML 형식의 로그를 실시간으로 파싱
# 'tail -f /var/log/syslog' 명령어와 파이프(|)로 연결되어 실행
#
# [주요 기능]
# 1. 복잡한 XML 태그 제거 및 데이터 추출
# 2. 불필요한 노이즈(Event ID 5 등) 필터링
# 3. 중요 이벤트(프로세스 생성, 네트워크 연결) 컬러 강조
# 4. 파일 해시(SHA256) 값 출력 지원
# ==============================================================================

def get_tag_name(elem):
    """
    XML 태그에서 네임스페이스(Namespace) URL을 제거하고, 순수 태그 이름만 추출하는 함수
    
    [예시]
    입력: {http://schemas.microsoft.com/schemas/eventlog/main}EventID
    출력: EventID
    
    이유: Sysmon 로그는 표준 포맷을 따르기 때문에 태그 앞에 긴 URL이 붙어있어,
          이를 제거해야 데이터 처리가 쉬움
    """
    if '}' in elem.tag:
        # '}' 문자를 기준으로 쪼개서 뒷부분(진짜 이름)만 가져옴
        return elem.tag.split('}', 1)[1]
    return elem.tag

def parse_and_print():
    """
    표준 입력(stdin)으로 들어오는 로그를 한 줄씩 읽어서 분석하고 출력하는 메인 함수
    """
    
    # 1. 시작 배너 출력 (스크립트가 실행되었음을 알림)
    print("\n" + "="*70)
    print("   🛡️  Sysmon Log Viewer (Detailed Comment Version)")
    print("   waiting for security events... (Noise filtered)")
    print("="*70 + "\n")
    
    # 2. 실시간 로그 읽기 루프 (파이프로 연결된 데이터가 들어올 때마다 반복)
    for line in sys.stdin:
        try:
            # Sysmon 로그인지 확인 (로그 라인에 <Event> 태그가 있는지 검색)
            start_idx = line.find('<Event>')
            
            # <Event> 태그가 없으면 Sysmon 로그가 아니거나 빈 줄이므로 건너뜀
            if start_idx == -1:
                continue
            
            # XML 데이터 부분만 잘라냄
            xml_data = line[start_idx:]
            
            # 3. XML 파싱 (문자열을 구조화된 데이터로 변환)
            try:
                root = ET.fromstring(xml_data)
            except ET.ParseError:
                # XML 형식이 깨져있으면 무시하고 다음 줄로 넘어감
                continue

            # 데이터를 저장할 변수 초기화
            event_id = "Unknown"
            data_map = {} # <Data Name="Key">Value</Data> 형태를 저장할 딕셔너리

            # 4. XML 내부 순회 및 데이터 추출
            for elem in root.iter():
                tag = get_tag_name(elem) # 태그 이름 정제
                
                # 이벤트 ID 추출 (<EventID>1</EventID>)
                if tag == 'EventID':
                    event_id = elem.text
                
                # 상세 데이터 추출 (<Data Name="Image">/usr/bin/sudo</Data>)
                elif tag == 'Data':
                    name_attr = elem.attrib.get('Name') # Name 속성 값 가져오기 (예: Image, User)
                    if name_attr:
                        # 텍스트가 있으면 가져오고, 없으면 빈 문자열 저장
                        data_map[name_attr] = elem.text if elem.text else ""

            # 5. 필터링
            # Event ID 5 (Process Terminate)는 노이즈가 되므로 출력하지 않음
            if event_id == "5":
                continue 

            # 6. 출력에 사용할 공통 필드 가져오기 (없으면 기본값 사용)
            time = data_map.get('UtcTime', 'Unknown Time')     # 발생 시간
            image = data_map.get('Image', 'Unknown Process')   # 실행된 프로세스 경로
            user = data_map.get('User', '-')                   # 실행한 사용자

            # 7. ANSI 색상 코드 정의 (터미널에서 색을 입히기 위함)
            RESET = "\033[0m"   # 색상 초기화
            GREEN = "\033[92m"  # 초록색 (프로세스 생성)
            RED = "\033[91m"    # 빨간색 (네트워크 연결 - 위험)
            BLUE = "\033[94m"   # 파란색 (파일 생성)
            GRAY = "\033[90m"   # 회색 (부가 정보/해시)
            BOLD = "\033[1m"    # 굵게 강조

            # 8. 이벤트 ID별 출력 포맷 설정
            
            # [CASE 1] Event ID 1: 프로세스 생성
            if event_id == "1":
                cmd = data_map.get('CommandLine', '') # 실행된 명령어 전체
                hashes = data_map.get('Hashes', '')   # SHA256 등 해시값
                
                # 메인 정보 출력
                print(f"{GREEN}[CREATE]{RESET} {time} | {BOLD}{image}{RESET} | User: {user} | {cmd}")
                
                # 해시값이 존재하면, 바로 아랫줄에 회색으로 들여쓰기하여 출력
                if hashes:
                    print(f"         └─ {GRAY}Hash: {hashes}{RESET}")

            # [CASE 2] Event ID 3: 네트워크 연결 (외부 통신)
            elif event_id == "3":
                dest_ip = data_map.get('DestinationIp', '-')     # 목적지 IP
                dest_port = data_map.get('DestinationPort', '-') # 목적지 포트
                protocol = data_map.get('Protocol', 'tcp')       # 프로토콜 (tcp/udp)
                
                print(f"{RED}[NET]{RESET}    {time} | {image} -> {dest_ip}:{dest_port} ({protocol})")
            
            # [CASE 3] Event ID 11: 파일 생성 (악성코드 드롭 등)
            elif event_id == "11":
                target = data_map.get('TargetFilename', '-') # 생성된 파일 경로
                
                print(f"{BLUE}[FILE]{RESET}   {time} | {image} created -> {target}")
            
            # [CASE 4] 그 외 이벤트 (설정 변경 등)
            else:
                print(f"[ID {event_id}] {time} | {image}")

        except Exception as e:
            # 실행 중 예상치 못한 에러가 발생해도 스크립트가 꺼지지 않게 처리
            # (디버깅이 필요할 땐 아래 pass를 print(e)로 바꾸면 됨)
            pass

# 스크립트가 직접 실행될 때만 parse_and_print() 함수 실행
if __name__ == "__main__":
    parse_and_print()