Para activar Sysmon integrado en Windows 11, habilita la característica opcional y después ejecuta sysmon -i desde una terminal con permisos de administrador. Antes, desinstala la versión independiente de Sysmon si la tienes: ambas instalaciones no pueden coexistir en el mismo dispositivo.
Qué hace Sysmon y qué necesitas antes de activarlo
Sysmon registra eventos del sistema en el registro de eventos de Windows para que otras herramientas puedan recopilarlos y analizarlos. Por sí solo, no analiza los eventos, no genera alertas ni bloquea actividad. Microsoft describe ese funcionamiento en la información general de Sysmon integrado y en su guía de configuración.
Si ya tienes instalada la versión independiente de Sysmon, desinstálala antes de activar la integrada; Microsoft indica que no se pueden habilitar ambas en el mismo equipo. La documentación de Microsoft contempla sysmon -u para desinstalar Sysmon. Necesitarás permisos de administrador para completar la activación.
Decide antes dónde se recopilarán y analizarán los eventos: Sysmon los registra, pero no se encarga de interpretarlos ni de detener actividad.
Activar Sysmon y comprobar que registra eventos
Sigue estos pasos en orden. Habilitar la característica opcional no completa por sí solo la instalación.
- Habilita la característica opcional Sysmon. En Configuración, ve a Sistema, Características opcionales y Más características de Windows, y activa Sysmon. También puedes abrir PowerShell como administrador y ejecutar
Enable-WindowsOptionalFeature -Online -FeatureName Sysmon. Este paso habilita la característica de Windows. - Instala Sysmon. En una terminal con permisos de administrador, ejecuta
sysmon -i. Este paso inicia la instalación del servicio y del controlador. - Comprueba los eventos. Abre el Visor de eventos (Event Viewer) y ve a Registros de aplicaciones y servicios > Microsoft > Windows > Sysmon > Operational. Busca eventos, por ejemplo, de creación de procesos, conexiones de red o creación de archivos. Microsoft detalla la secuencia y la ubicación en su guía para habilitar y configurar Sysmon.
Configuración, idioma de los eventos y actualizaciones
Puedes usar un archivo XML para seleccionar tipos de eventos y aplicar filtros. Para aplicar una configuración, Microsoft indica el comando sysmon -c <configfile>. Los cambios de configuración se aplican dinámicamente, sin reiniciar. Microsoft advierte que una configuración demasiado restrictiva o mal ajustada puede producir un volumen elevado de eventos; conviene adaptar los filtros a lo que necesitas registrar. La guía de configuración de Sysmon explica estas opciones.
En equipos configurados en distintos idiomas, los mensajes de eventos que muestra Sysmon integrado están localizados, pero los datos XML subyacentes se mantienen consistentes entre idiomas. Si tus scripts procesan el texto mostrado en pantalla, quizá debas adaptarlos; usar los datos XML permite trabajar con una estructura común en equipos con diferentes idiomas. Microsoft describe este comportamiento en la información general de Sysmon.
Microsoft distribuye los binarios de Sysmon integrado mediante actualizaciones de calidad de Windows, tanto si la característica está habilitada como si no. Cuando Sysmon está activo, las actualizaciones conservan la configuración y no requieren reiniciar; si está desactivado, permanece desactivado. Estas actualizaciones no modifican las instalaciones independientes de Sysmon. Las mejoras que no son de seguridad pueden llegar primero como actualizaciones preliminares opcionales, mientras que las correcciones críticas de seguridad se distribuyen mediante las actualizaciones mensuales de seguridad. (Información general de Sysmon de Microsoft)
