No Windows 11, o Sysmon integrado é opcional: habilite o recurso e, em seguida, execute sysmon -i em um terminal como administrador. Antes, desinstale qualquer versão independente do Sysmon, pois as duas instalações não podem ficar habilitadas no mesmo dispositivo. Depois, consulte os eventos no Visualizador de Eventos.
O que o Sysmon registra
O Sysmon grava eventos do sistema no Log de Eventos do Windows para que outras ferramentas façam a coleta e a análise. Ele não analisa os eventos por conta própria, não gera alertas e não bloqueia atividades. A Microsoft descreve esse papel na visão geral do Sysmon integrado.
Por isso, habilitar o Sysmon não equivale a instalar uma ferramenta de resposta a ameaças. Os registros podem ser encaminhados para soluções de coleta de eventos, EDR ou SIEM, que fazem a análise posterior.
Ative o Sysmon e confira os registros
Antes de começar, use uma conta com privilégios de administrador. Se você já instalou o Sysmon independente, desinstale-o primeiro; a documentação da Microsoft para habilitar e configurar o Sysmon explica a sequência.
- Habilite o recurso opcional. No Windows, acesse Configurações > Sistema > Recursos opcionais > Mais recursos do Windows e habilite Sysmon. Como alternativa, abra o PowerShell como administrador e execute
Enable-WindowsOptionalFeature -Online -FeatureName Sysmon. Isso habilita o componente no Windows. - Instale e inicie o Sysmon. Em um terminal como administrador, execute
sysmon -i. Esta etapa inicia a instalação do serviço; habilitar o recurso opcional, por si só, não conclui o processo. - Confira o canal de eventos. Abra o Visualizador de Eventos e navegue até Logs de Aplicativos e Serviços > Microsoft > Windows > Sysmon > Operational. Procure eventos como Process Create, Network Connect ou File Create para confirmar que há registros.
Configure a coleta e interprete os eventos
Um arquivo XML permite escolher os tipos de evento e definir filtros de inclusão ou exclusão. Para aplicar uma configuração, execute sysmon -c <configfile>. As alterações passam a valer sem reiniciar o sistema. A Microsoft alerta que uma configuração restritiva ou mal ajustada pode gerar um volume alto de eventos.
As mensagens de eventos exibidas pelo Windows seguem o idioma do dispositivo, mas os dados XML subjacentes permanecem consistentes entre idiomas. Se scripts processam o texto renderizado na tela, talvez precisem de ajustes para cada idioma.
Para automatizar a coleta em computadores com idiomas diferentes, use os dados XML como referência: eles permanecem consistentes mesmo quando as mensagens exibidas são localizadas.
A Microsoft distribui atualizações dos binários do Sysmon integrado pelo Windows mesmo quando o recurso está desativado. Se estiver ativo, a configuração é preservada durante a atualização e não é necessário reiniciar; se estiver desativado, continua assim. Essas atualizações do recurso integrado não alteram uma instalação independente do Sysmon.
