Je schakelt ingebouwde Sysmon in Windows 11 in door eerst de optionele functie aan te zetten en daarna in een terminal met administratorrechten sysmon -i uit te voeren. Verwijder vooraf een zelfstandige Sysmon-installatie: de ingebouwde en zelfstandige versie kunnen niet tegelijk op hetzelfde apparaat zijn ingeschakeld.
Wat Sysmon registreert
Sysmon legt systeemgebeurtenissen vast in Logboeken van Windows, zodat andere systemen of beheerders ze later kunnen verzamelen en analyseren. Sysmon analyseert gebeurtenissen niet zelf, geeft geen waarschuwingen en blokkeert geen activiteiten. Voor analyse kun je de gebeurtenissen doorsturen naar bijvoorbeeld Windows Event Collection, een EDR-product of een SIEM-systeem. Microsoft beschrijft de werking in het overzicht van Sysmon.
Schakel Sysmon pas in als je ook weet waar de gebeurtenissen worden verzameld en geanalyseerd: de functie registreert ze, maar beoordeelt ze niet.
Sysmon inschakelen en de logregistratie controleren
Voer de stappen in deze volgorde uit. Microsoft vereist administratorrechten voor de installatie en beschrijft de procedure in de handleiding voor inschakelen en configureren.
- Verwijder een zelfstandige Sysmon-installatie. De zelfstandige en ingebouwde versie kunnen niet tegelijk op hetzelfde apparaat zijn ingeschakeld.
- Schakel de optionele functie in. Ga in Instellingen naar Systeem > Optionele onderdelen > Meer Windows-functies en schakel Sysmon in. Je kunt de functie ook inschakelen met PowerShell:
Enable-WindowsOptionalFeature -Online -FeatureName Sysmon. - Start de installatie van Sysmon. Open een terminal met administratorrechten en voer
sysmon -iuit. Alleen de optionele functie inschakelen start de registratie nog niet. - Controleer of Sysmon gebeurtenissen registreert. Open Logboeken en ga naar Logboeken voor toepassingen en services > Microsoft > Windows > Sysmon > Operational. Zoek naar gebeurtenissen, zoals
Process Create,Network ConnectofFile Create.
Configuratie, gebeurtenistaal en updates
Met een XML-configuratiebestand kies je welke typen gebeurtenissen Sysmon registreert en welke filters gelden. Pas een configuratie toe met sysmon -c <configfile>; wijzigingen gaan direct in, zonder herstart. Microsoft waarschuwt dat een restrictieve of slecht afgestemde configuratie een groot aantal gebeurtenissen kan opleveren.
Op Windows-apparaten met verschillende talen worden de weergegeven gebeurtenisberichten gelokaliseerd. De onderliggende XML-gegevens blijven consistent. Als scripts de weergegeven tekst verwerken, kunnen ze daarom aanpassingen nodig hebben. Voor gegevensverwerking op meerdere talen is de XML-structuur de stabielere basis.
Microsoft levert updates voor de ingebouwde Sysmon-bestanden via Windows-kwaliteitsupdates. Een ingeschakelde installatie behoudt daarbij de configuratie en vereist geen herstart; een uitgeschakelde installatie blijft uitgeschakeld. Deze updates veranderen een zelfstandige Sysmon-installatie niet.
