Per attivare Sysmon integrato in Windows 11, abilita la funzionalità opzionale e poi esegui sysmon -i da un terminale avviato come amministratore. Sysmon registra eventi di sistema da consultare o inviare a strumenti separati per l’analisi.
Che cosa fa Sysmon integrato
Sysmon raccoglie informazioni sulle attività del sistema e le scrive nel registro eventi di Windows. Non analizza gli eventi, non genera avvisi e non blocca le attività: per esaminare i dati servono strumenti a valle, come Windows Event Collection, soluzioni EDR o sistemi SIEM. Microsoft descrive queste funzioni e i limiti di Sysmon nella panoramica ufficiale e nella guida alla configurazione.
Considera Sysmon una fonte di tracce: per trasformarle in rilevamenti servono raccolta e analisi separate.
Prima di iniziare
Se sul dispositivo è già installata la versione autonoma di Sysmon, rimuovila prima di attivare quella integrata. Le due installazioni non possono essere abilitate contemporaneamente sullo stesso dispositivo. Per la procedura servono inoltre privilegi di amministratore.
Attivare Sysmon e controllare la registrazione
- Abilita la funzionalità opzionale. In Impostazioni, apri Sistema > Funzionalità facoltative > Altre funzionalità di Windows e seleziona Sysmon. In alternativa, esegui PowerShell come amministratore e lancia
Enable-WindowsOptionalFeature -Online -FeatureName Sysmon. - Installa e avvia Sysmon. Apri un terminale con privilegi di amministratore ed esegui
sysmon -i. Abilitare la funzionalità opzionale e installare Sysmon sono passaggi distinti. - Controlla gli eventi. In Visualizzatore eventi, apri Registri applicazioni e servizi > Microsoft > Windows > Sysmon > Operational. Il registro è identificato anche dal percorso
Microsoft-Windows-Sysmon/Operational; cerca eventi come Process Create, Network Connect o File Create.
La procedura Microsoft per abilitare e configurare Sysmon descrive i passaggi e il percorso del registro.
Filtrare gli eventi con una configurazione XML
Un file XML permette di scegliere i tipi di evento da registrare e impostare filtri di inclusione o esclusione. Per applicare un file di configurazione, usa sysmon -c <configfile> da un terminale con privilegi di amministratore. Microsoft indica che le modifiche alla configurazione diventano effettive senza riavviare il sistema e avverte che una configurazione troppo restrittiva o mal calibrata può produrre un volume elevato di eventi.
Lingua dei messaggi e aggiornamenti di Windows
Su Windows in lingue diverse, i messaggi visualizzati per gli eventi di Sysmon integrato seguono la lingua del dispositivo; i dati XML sottostanti restano coerenti. Se uno script elabora il testo dei messaggi visualizzati, potrebbe quindi richiedere modifiche per gestire dispositivi con lingue diverse. Per una raccolta multilingue, i campi XML offrono una base coerente, come spiega la documentazione Microsoft.
Microsoft distribuisce gli aggiornamenti dei componenti integrati tramite gli aggiornamenti qualitativi di Windows, anche quando Sysmon è disabilitato. Se è attivo, l’aggiornamento conserva la configurazione senza richiedere un riavvio; se è disabilitato, resta tale. Questi aggiornamenti del componente integrato non modificano le installazioni autonome di Sysmon.
