Sysmon intégré à Windows 11 est une fonctionnalité facultative. Pour démarrer la journalisation, activez-la, puis exécutez sysmon -i dans un terminal ouvert en tant qu’administrateur. Si Sysmon autonome est déjà installé, désinstallez-le avant de commencer : les deux versions ne peuvent pas fonctionner ensemble sur le même appareil. Microsoft détaille les étapes d’activation et de configuration.

Sysmon enregistre des événements ; leur collecte et leur analyse se font ensuite avec les outils adaptés.

Ce que Sysmon enregistre

Sysmon consigne des événements système dans le journal des événements Windows, pour qu’ils puissent être examinés ou transmis à d’autres outils. Il ne les analyse pas, ne génère pas d’alertes et ne bloque pas l’activité. Pour exploiter les événements, Microsoft cite notamment Windows Event Collection, les outils EDR et les solutions SIEM, qui centralisent et analysent les données.

Activer Sysmon et vérifier les événements

Get solutions présente en anglais l’activation de Sysmon intégré dans les versions préliminaires Beta et Dev de Windows 11.

Avant de commencer

Vous devez disposer des droits administrateur. Vérifiez aussi si la version autonome de Sysmon est installée et désinstallez-la avant d’activer la version intégrée.

Suivez les étapes dans l’ordre

  1. Activez la fonctionnalité facultative Sysmon. Dans Paramètres, ouvrez les fonctionnalités facultatives, puis les fonctionnalités Windows, et activez Sysmon. Vous pouvez aussi ouvrir PowerShell en administrateur et exécuter Enable-WindowsOptionalFeature -Online -FeatureName Sysmon.
  2. Installez et démarrez Sysmon. Dans un terminal administrateur, exécutez sysmon -i. L’activation de la fonctionnalité facultative ne remplace pas cette étape.
  3. Vérifiez la journalisation. Dans l’Observateur d’événements, ouvrez Journaux des applications et des services > Microsoft > Windows > Sysmon > Operational et cherchez les événements enregistrés.

Configurer les événements et gérer les journaux

Un fichier de configuration XML permet de choisir les types d’événements suivis et d’ajouter des filtres d’inclusion ou d’exclusion. Pour appliquer un fichier, utilisez sysmon -c <configfile>. Les modifications de configuration prennent effet sans redémarrage. Microsoft avertit qu’une configuration mal réglée peut produire un volume élevé d’événements ; adaptez donc les filtres aux événements que vous devez réellement collecter. La documentation Microsoft explique les options de configuration.

Sur un appareil Windows configuré dans une autre langue, les messages d’événements affichés sont localisés, tandis que les données XML sous-jacentes restent cohérentes d’une langue à l’autre. Les scripts qui traitent le texte affiché peuvent donc nécessiter des ajustements ; pour une collecte multilingue, appuyez-vous sur les données XML plutôt que sur les libellés affichés. Microsoft décrit cette différence et le fonctionnement des mises à jour de Sysmon.

Les mises à jour Windows peuvent actualiser les composants de Sysmon intégré même lorsque la fonctionnalité est désactivée. Si Sysmon est activé, sa configuration est conservée sans redémarrage ; s’il est désactivé, la mise à jour ne l’active pas. Ces mises à jour ne modifient pas une installation autonome de Sysmon.