Um den integrierten Sysmon in Windows 11 zu aktivieren, schaltest du zuerst das optionale Windows-Feature ein und führst danach sysmon -i in einem Terminal mit Administratorrechten aus. Vorher muss eine vorhandene eigenständige Sysmon-Installation entfernt werden. Die Anleitung richtet sich an alle, die Systemereignisse protokollieren und anschließend auswerten möchten.

Was Sysmon protokolliert

Sysmon zeichnet Systemereignisse im Windows-Ereignisprotokoll auf. Die Daten können bei der Sicherheitsanalyse und Fehlersuche helfen. Sysmon selbst wertet sie jedoch nicht aus, erzeugt keine Warnmeldungen und blockiert keine Aktivitäten. Für Analyse und Alarmierung braucht es eine nachgelagerte Lösung, etwa Windows Event Collection, ein EDR-Produkt oder ein SIEM-System. Microsoft beschreibt diese Aufgabenverteilung in der Übersicht zum integrierten Sysmon.

Sysmon liefert Ereignisdaten für die Analyse, übernimmt die Analyse aber nicht selbst.

Vor der Aktivierung

Der integrierte Sysmon und die separat installierte Sysinternals-Version können nicht gleichzeitig auf demselben Gerät aktiviert sein. Entferne eine vorhandene eigenständige Installation, bevor du das Windows-Feature einschaltest.

Sysmon aktivieren und die Protokollierung prüfen

Englischsprachiger Überblick von Get solutions zur Sysmon-Integration und zum Aktivieren über die optionalen Windows-Features
  1. Optionale Windows-Funktion einschalten. Öffne in den Einstellungen den Bereich für optionale Features und aktiviere Sysmon. Alternativ kannst du ein administratives PowerShell-Fenster öffnen und diesen Befehl ausführen:Enable-WindowsOptionalFeature -Online -FeatureName Sysmon
  2. Sysmon starten. Führe anschließend in einem Terminal mit Administratorrechten den Befehl aus:sysmon -i Das Einschalten der optionalen Funktion ersetzt diesen Installationsschritt nicht. Microsoft führt beide Schritte in der Anleitung zum Aktivieren und Konfigurieren von Sysmon auf.
  3. Ereignisse kontrollieren. Öffne im Event Viewer den Pfad Anwendungs- und Dienstprotokolle > Microsoft > Windows > Sysmon > Operational. Einträge in diesem Protokoll zeigen, dass Sysmon Ereignisse erfasst.

Konfiguration, Ereignissprache und Updates

Eine XML-Konfigurationsdatei legt fest, welche Ereignistypen Sysmon erfasst und welche Ein- oder Ausschlussfilter gelten. Eine Konfiguration lässt sich mit sysmon -c <configfile> anwenden. Microsoft weist darauf hin, dass eine restriktive oder schlecht abgestimmte Konfiguration ein hohes Ereignisaufkommen verursachen kann.

Auf Windows-Geräten mit unterschiedlichen Anzeigesprachen sind die dargestellten Ereignismeldungen lokalisiert, die zugrunde liegenden XML-Daten bleiben dagegen sprachübergreifend konsistent. Für mehrsprachige Protokollsammlungen sind deshalb die XML-Daten die verlässlichere gemeinsame Grundlage. Skripte, die dargestellte Meldungstexte verarbeiten, müssen gegebenenfalls angepasst werden.

Microsoft aktualisiert die integrierten Sysmon-Dateien über Windows-Updates, unabhängig davon, ob Sysmon aktiviert ist. Bei einer aktivierten Installation bleibt die Konfiguration erhalten; ein Neustart ist dafür nicht erforderlich. Eine deaktivierte Installation bleibt deaktiviert. Diese Updates verändern separate Sysinternals-Installationen nicht. Nicht sicherheitsrelevante Verbesserungen werden über Windows-Qualitätsupdates bereitgestellt; optionale Vorschauupdates gehen einer breiteren Verteilung voraus. Kritische Sicherheitskorrekturen erscheinen über monatliche Sicherheitsupdates.