どのWindowsファイルをHIDSで監視する必要がありますか？
以下の質問を強調しました。これが背景です。
最も一般的なトロイの木馬/変更されたLinuxバイナリと構成ファイルを示すデータを見つけるのは簡単です。 ps、ls、find、kill、lsof、passwd、shadow、syslog.confなどはすべて、システムが侵害された後に頻繁に変更されます。また、utmpとwtmpを監視して、ユーザーがLinuxシステムにログオンしたとき、または誰かがシステムを再起動したときに警告を発することも簡単です。
Windowsはブラックボックスのようであり、監視するのが一般的に難しいようです。これの一部はレジストリとプレーンテキストの設定ファイルの欠如によるものですが、一部はWindowsのクローズドソースの文書化されていない性質によるものと思われます。また、「監視」とは、ファイルがアラート（ログではなく）によって変更されたことをリアルタイムで知ることを意味します。 X実行可能ファイルが変更されたとき、ローカルのSAMファイルが変更されたとき、またはウイルスがシステムを再起動して感染したMBRをインストールしたときに、SMS、電子メールなどでアラートを送信します。そして実際には、整合性の監視は簡単です。難しいのはWindows上のどのファイルを監視する必要があるかを知ることです。すべてのファイルを監視して警告することはできません。
HIDSで監視する必要がある、一般的にトロイの木馬化/変更されたWindowsファイルの公式リストはありますか？
ここでの合理的なアプローチは、既存のHIDS製品がこの点で何をしているのかを見ることです。 [〜＃〜] ossec [〜＃〜] を例に取ると、 their site の本には、ファイルとレジストリキーの両方の長いリストがあります。変更の監視（リンクされたPDFのP84）
一般に、Windowsシステムファイルは主にc：\ windowsにあるため、監視するファイルの多くはその場所にあります。
このノートンからの削除ガイドには、最も一般的に標的とされているレジストリキーとファイルに関する多くの良い情報があります。確かに起動フォルダにあるもの。 https://us.norton.com/support/premium_services/malware_removal_guide.pdf
たとえば、18-19ページを参照してください。