MS Sysinternals tool(Sysmon)的guid是什么意思答案

【问题标题】：What does MS Sysinternals tool(Sysmon)'s guid meaningMS Sysinternals tool(Sysmon)的guid是什么意思
【发布时间】：2018-05-06 06:16:37
【问题描述】：

我有一个名为 Sysmon 的 Sysinternals 工具留下的 guid。它看起来像这样。

3/18 C591B94E-4BDD-5AAE-0000-001073B13706

4/4 C591B94E-1BFA-5AC5-0000-0010E76F3903

4/29 C591B94E-A33F-5AE5-0000-001074CA4C26

5/2(不同windows账号) C591B94E-E23B-5AE9-0000-0010DD40EF32

5/2（在虚拟机上）A15730FB-E3DA-5AE9-0000-0010AB2C0800

它是在我的计算机在不同日期和不同环境中创建进程（事件 id 1）时生成的。我找到了 uuid 格式 (https://en.wikipedia.org/wiki/Universally_unique_identifier)

xxxxxxxx-xxxx-Mxxx-Nxxx-xxxxxxxxxxxx(M表示UUID版本，N位高1-3位表示UUID变体)

据此，我的 3/18 示例是 C591B94E-4BDD-5AAE-0000-001073B13706。表示 M 为 5，N 为 0，也就是说 UUID 版本为 5，variant 为 0。表示它是 SHA-1 Hash Value(Version 5)，Variant 为 0。

我真的很想知道另一个数字是什么意思。因为 sysmon 的文档说 guid 有助于相关性，但他们从未解释过这个数字是什么意思。

我猜第一组与PC信息有关。因为只有当我更改 PC（虚拟机上的 5/2）时，第一组才会更改（C591B94E -> A15730FB）。所以我认为它与Mac或IP地址有关。但是即使我更改了 MAC 和 IP 地址，它仍然是 A15730FB 或 C591B94E。

我确定第二组与时间有关。

但我不知道这到底是什么意思。

【问题讨论】：

【解决方案1】：

GUID 本身并没有特别的含义。其目的是允许您在 Windows 重用进程 ID 时关联和过滤进程事件（这样您可以将其视为完全唯一的进程 ID）。

“在进程创建事件中包含进程 GUID，以允许事件关联，即使 Windows 重用进程 ID。”

【讨论】：