Wbudowany Sysmon jest opcjonalną funkcją Windows 11. Aby zaczął zapisywać zdarzenia, włącz tę funkcję, a następnie uruchom sysmon -i w terminalu z uprawnieniami administratora. Jeśli na komputerze działa już osobna instalacja Sysmon, odinstaluj ją przed włączeniem wersji wbudowanej. Microsoft opisuje działanie Sysmon oraz sposób jego włączania i konfiguracji.

Sysmon zapisuje ślady aktywności. Do ich analizy i reagowania na zagrożenia potrzebne są osobne narzędzia.

Co robi Sysmon w Windows 11

Sysmon rejestruje zdarzenia systemowe w Dzienniku zdarzeń systemu Windows. Administrator może potem przekazać je do dalszej analizy, na przykład do systemu SIEM lub narzędzia EDR. Sam Sysmon nie analizuje zdarzeń, nie generuje alertów i nie blokuje aktywności.

Jak włączyć Sysmon i potwierdzić zapis zdarzeń

Anglojęzyczny poradnik Get solutions omawiający włączenie funkcji opcjonalnej i usunięcie osobnej instalacji Sysmon
  1. Usuń samodzielną instalację Sysmon, jeśli jest obecna. Wersja wbudowana i pobrana osobno nie mogą być włączone jednocześnie na tym samym urządzeniu.
  2. Włącz opcjonalną funkcję Sysmon. Otwórz Ustawienia > System > Funkcje opcjonalne > Więcej funkcji systemu Windows i zaznacz Sysmon. Możesz też użyć PowerShella uruchomionego jako administrator:Enable-WindowsOptionalFeature -Online -FeatureName Sysmon
  3. Uruchom Sysmon. W terminalu z uprawnieniami administratora wpisz:sysmon -i
  4. Sprawdź, czy pojawiają się zdarzenia. W Podglądzie zdarzeń (Event Viewer) otwórz Dzienniki aplikacji i usług > Microsoft > Windows > Sysmon > Operational. W tym dzienniku szukaj wpisów dotyczących między innymi tworzenia procesów, połączeń sieciowych lub tworzenia plików.

Konfiguracja zdarzeń i logów

Plik XML pozwala wskazać typy zdarzeń do rejestrowania oraz ustawić reguły włączania i wykluczania. Konfigurację zastosujesz poleceniem sysmon -c <configfile>. Microsoft podaje, że zmiany zaczynają działać bez ponownego uruchamiania systemu. Zbyt restrykcyjna lub źle dobrana konfiguracja może jednak generować dużą liczbę zdarzeń.

Samo zapisanie logów nie zapewnia ich analizy. Do zbierania i dalszego przetwarzania administrator może wykorzystać Windows Event Collection, narzędzia EDR albo system SIEM.

Język zdarzeń i aktualizacje Windows

Wbudowany Sysmon wyświetla komunikaty zdarzeń w języku urządzenia, ale dane w źródłowym XML pozostają spójne między wersjami językowymi. Przy zbieraniu logów z komputerów używających różnych języków warto więc opierać skrypty na danych XML, a nie na przetłumaczonym tekście komunikatów. Skrypty przetwarzające wyświetlane komunikaty mogą wymagać dostosowania.

Aktualizacje Windows mogą aktualizować pliki wbudowanego Sysmon także wtedy, gdy funkcja jest wyłączona. Jeśli Sysmon jest włączony, aktualizacja zachowuje jego konfigurację i nie wymaga ponownego uruchomienia; jeśli jest wyłączony, pozostaje wyłączony.