https://sandsoncosta.github.io/tags/hashing/Recent content in Hashing on Sandson CostaHugopt-brCopyright © 2024-2026 Sandson Costa. All Rights Reserved.Sat, 24 Oct 2026 02:34:15 -0300https://sandsoncosta.github.io/blog/hashes-no-sysmon-md5-sha-256-e-imphash-em-regras-de-deteccao-e-bloqueio/Thu, 22 Oct 2026 23:34:48 -0300https://sandsoncosta.github.io/blog/hashes-no-sysmon-md5-sha-256-e-imphash-em-regras-de-deteccao-e-bloqueio/<h1 id="1-introdução">1. Introdução</h1> <p>O Sysmon calcula hashes de arquivos em vários eventos (criação de processo, carga de drivers e DLLs, gravação e exclusão de executáveis) e permite usar esses valores tanto para registrar quanto para impedir a gravação de executáveis (a partir da versão 14). Três algoritmos são usados com frequência nessas regras: MD5, SHA-256 e IMPHASH.</p> <p>Embora os três apareçam lado a lado no mesmo campo do evento, eles medem coisas diferentes. MD5 e SHA-256 são calculados sobre o conteúdo integral do arquivo e identificam uma versão exata. O IMPHASH é calculado sobre a tabela de importações de um executável PE e indica semelhança estrutural entre binários. Essa diferença determina o comportamento de cada um quando usado como critério de filtragem.</p>