Sysdig Windows Agentのインストールと検知テスト

先日、待望のSysdig Windows AgentがGAリリースされました！本記事では、Sysdig Windows Agentのインストールと検知テストの方法をご紹介します。
詳細は下記ドキュメントをご参照ください。
https://docs.sysdig.com/en/docs/installation/sysdig-secure/install-agent-components/windows-host/

# テスト環境
* Sysdig Windows Agent version 1.0.0
* Windows Server 2022 Base

# Sysdig Windows Agentのインストール
Sysdig Windows AgentはWindows Server 2019以上に対応しています。以下ドキュメント内のリンクからダウンロードできます。
https://docs.sysdig.com/en/docs/installation/sysdig-secure/install-agent-components/windows-host/#install-the-windows-agent

1\. ダウンロードしたインストールプログラムを起動し、**Next** をクリックします。
![スクリーンショット 2024-07-01 10.06.17.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/2802821/2a454199-b3fc-3357-7c58-3f9812b760dd.png)

2\. エンドユーザー ライセンス アグリーメントの同意にチェックを入れ、**Next** をクリックします。
![スクリーンショット 2024-07-01 10.06.27.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/2802821/3c198879-bbf2-6820-090c-e5c3238ef77e.png)

3\. **Sysdig Collector address** と **Agent access key** を入力し、Nextをクリックします。
![スクリーンショット 2024-07-01 10.08.42.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/2802821/cdaff125-b7f9-c99a-bd2f-df5ef3a5f1bd.png)

:::note info
Sysdig Collector addressの値はご利用のSysdig SaaSリージョンにより異なります。下記ドキュメントをご参照ください（画面はus2のアドレスです）。
https://docs.sysdig.com/en/docs/administration/saas-regions-and-ip-ranges/
:::

:::note info
Agent access keyの確認方法は下記ドキュメントをご参照ください。
https://docs.sysdig.com/en/docs/administration/administration-settings/access-and-secrets/agent-access-keys/
:::

4\. **Install** をクリックします。
![スクリーンショット 2024-07-01 10.10.01.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/2802821/749aeee6-d05b-21d7-ff63-7fc8aff6ae33.png)

5\. **Finish** をクリックします。
![スクリーンショット 2024-07-01 10.10.20.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/2802821/7e873159-5410-2f91-2a1d-a7c7402f0a1d.png)

6\. Sysdig UIの画面左下の **Integration > Sysdig Agents** に移動し、Sysdig Windows AgentがSysdig SaaSバックエンドに接続できていることを確認します。
![スクリーンショット 2024-07-01 10.27.49.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/2802821/34f1c28e-348f-11e6-5f7f-91537de30277.png)


以上でSysdig Windows Agentのインストールは完了です。簡単ですね！
CLIでインストールしたい場合は以下ドキュメントをご参照ください。
https://docs.sysdig.com/en/docs/installation/sysdig-secure/install-agent-components/windows-host/#cli-installation

# Sysdig Windows Agentの検知テスト
今回の振る舞い検知テストで使用するFalcoルールが含まれた、ランタイム脅威検知ポリシーを有効にします。

1\. Sysdig UIの左側メニューから **Policies > Threat Detection > Runtime Policies** に移動し、**Sysdig Windows Notable Events** が有効になっていることを確認します。
![スクリーンショット 2024-07-01 10.34.26.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/2802821/69acc27d-2747-367c-6513-edc3853277eb.png)

2\. Windowsサーバでコマンドプロンプトを管理者権限でオープンし、Windowsサーバの`C:\Windows\System32` ディレクトリ配下に適当なファイルを作成します。
```
echo test > "C:\Windows\System32\test.txt"
```

:::note info
GUIではなく、コマンドプロンプトもしくはPowershellでファイルを作成してください。
:::

ファイルが作成されていることを確認します。
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/2802821/69a3d62a-e5b3-68d9-4ebc-d5a7bc38a877.png)

3\. Sysdig UIの左側メニューから **Events > Events Feed** に移動し、**"File Created in System Directory"** イベントを検知していることを確認します。このルールは、コマンドシェルプロセスがシステムディレクトリにファイルを作成しようとしたことを検知するルールです。
![image.png](https://qiita-image-store.s3.ap-northeast-1.amazonaws.com/0/2802821/e7df9382-9d12-7691-9db2-fff29eed78d5.png)

# まとめ
Sysdig Windows Agentをインストールし、Linux Agentと同じように不審な振る舞いをリアルタイムで検知できることが確認できました。