Как настроить системный мониторинг Sysmon в Windows 11 26H2
Sysmon, или System Monitor, давно используется администраторами и специалистами по безопасности для подробного контроля происходящего внутри Windows. Раньше его обычно загружали отдельно в составе Sysinternals, а теперь Microsoft встроила компонент непосредственно в Windows.
В Windows 11 26H2 Sysmon входит в современную систему безопасности как необязательная возможность. Он способен фиксировать запуск процессов, сетевые соединения, загрузку драйверов, операции с файлами, изменения реестра, DNS-запросы и другие события, которые помогают восстановить картину происходящего на компьютере.
Важно. Встроенный Sysmon отключен по умолчанию. После обычной установки или обновления Windows 11 26H2 система не начинает автоматически вести детальный журнал всех процессов и сетевых соединений.
Основное преимущество новой модели — Sysmon больше не нужно рассматривать как отдельную стороннюю утилиту. Он обслуживается вместе с Windows, использует стандартный Event Log и поддерживает собственные XML-конфигурации.
В Windows уже есть Диспетчер задач, Монитор ресурсов и Просмотр событий, но они решают другие задачи.
| Инструмент | Основная задача | Что дает пользователю |
|---|---|---|
| Диспетчер задач | Текущее состояние системы | Процессы, CPU, память, диск, GPU |
| Монитор ресурсов | Текущая нагрузка | Подробная активность диска, сети и памяти |
| Просмотр событий | Системные журналы | Ошибки, предупреждения и события Windows |
| Sysmon | Поведенческая телеметрия | История процессов, сети, файлов, реестра и драйверов |
Sysmon полезен не столько для ответа на вопрос «что работает сейчас», сколько для анализа того, что происходило в системе раньше.
Например, по журналам можно определить, какая программа запустила PowerShell, какой файл появился после этого, к какому домену процесс обращался и какие изменения он внес в реестр.
Если требуется установить Windows 11 26H2 на новый компьютер или выполнить чистую переустановку системы, заранее подготовьте актуальный установочный образ.
Подсказка. После установки Windows сначала завершите обновление системы и драйверов. Затем уже имеет смысл включать Sysmon и формировать базовую конфигурацию мониторинга.
После загрузки образа воспользуйтесь отдельной инструкцией по установке Windows 11. В ней разобраны создание загрузочного носителя, выбор диска, установка системы и первоначальная настройка.
Microsoft устанавливает Sysmon как необязательный компонент Windows. Для его активации нужны права администратора.
Перед включением встроенного варианта откройте PowerShell от имени администратора и выполните:
Get-Service sysmon*
Если команда не возвращает результатов, отдельная служба Sysmon, вероятнее всего, не установлена.
Встроенный и standalone Sysinternals Sysmon не должны одновременно работать на одном компьютере. Если старая версия уже установлена, сначала удалите ее штатным способом.
В PowerShell от имени администратора выполните:
Enable-WindowsOptionalFeature -Online -FeatureName Sysmon
После этого установите службу и драйвер:
sysmon -i
Sysmon начнет работать с активной конфигурацией.
Все события встроенного Sysmon записываются в стандартный журнал Windows.
eventvwr.msc.Полный путь выглядит так:
Applications and Services Logs → Microsoft → Windows → Sysmon → Operational
Каждая запись содержит Event ID и набор структурированных полей: процесс, путь к файлу, командную строку, сетевые адреса, хеши и другие данные.
Нюанс. Метки времени событий Sysmon записываются в UTC, поэтому при ручном анализе важно учитывать локальный часовой пояс.
Sysmon поддерживает десятки типов событий. На практике чаще всего используются события процессов, сети, файловой системы, реестра, драйверов и DNS.
| Event ID | Событие | Что позволяет увидеть |
|---|---|---|
| 1 | Process Create | Запуск процесса и его контекст |
| 2 | File Creation Time | Изменение времени создания файла |
| 3 | Network Connect | Сетевые подключения процессов |
| 5 | Process Terminate | Завершение процесса |
| 6 | Driver Load | Загрузку драйверов ядра |
| 7 | Image Load | Загрузку DLL и исполняемых модулей |
| 8 | CreateRemoteThread | Создание потока внутри другого процесса |
| 10 | Process Access | Обращение процесса к другому процессу |
| 11 | File Create | Создание файлов |
| 12–14 | Registry Event | Создание, изменение и удаление данных реестра |
| 17–18 | Pipe Event | Работу с именованными каналами |
| 19–21 | WMI Event | Регистрацию WMI-механизмов |
| 22 | DNS Query | DNS-запросы процессов |
| 23 | File Delete | Удаление файла с сохранением копии |
| 24 | Clipboard Change | Изменение содержимого буфера обмена |
| 25 | Process Tampering | Манипуляции с образом процесса |
| 26 | File Delete Detected | Удаление файла без архивирования |
| 27–29 | Executable File Events | Обнаружение и блокировку исполняемых файлов |
| 255 | Error | Внутренние ошибки Sysmon |
Не все категории нужно активировать одновременно: некоторые события могут создавать очень большой объем телеметрии.
Event ID 1 фиксирует создание процесса и дает значительно больше информации, чем обычный список программ в Диспетчере задач.
Запись может содержать:
Обычный PID Windows со временем может использоваться повторно. Process GUID позволяет надежнее сопоставлять события одного конкретного процесса на протяжении всей цепочки.
Например, можно связать:
Так из отдельных записей формируется последовательная история действий программы.
Event ID 3 предназначен для сетевых соединений.
Запись может включать:
Но есть важное ограничение. Network Connect — высокочастотное событие. На компьютере с браузером, OneDrive, Teams и другими фоновыми службами записей может быть очень много.
Поэтому сетевую телеметрию лучше включать вместе с фильтрацией.
DNS-событие помогает увидеть не только IP-адрес, но и доменное имя, которое запрашивал конкретный процесс.
Это полезно при расследовании подозрительной активности: процесс можно связать с конкретным доменом еще до установления полноценного соединения.
Event ID 11 показывает создание или перезапись файла.
Так можно отслеживать появление:
Event ID 12–14 фиксируют изменения реестра.
Особенно полезно контролировать разделы, связанные с:
Event ID 6 фиксирует загрузку драйвера ядра и может включать информацию о подписи и хеше.
Поскольку загрузка kernel-driver происходит гораздо реже обычного запуска EXE, такое событие часто представляет повышенный интерес для анализа безопасности.
Sysmon не принимает решение о том, является ли действие вредоносным.
| Возможность | Sysmon |
|---|---|
| Записывать запуск процессов | Да |
| Фиксировать сетевые соединения | Да |
| Контролировать изменения реестра | Да |
| Самостоятельно определять вредоносность | Нет |
| Удалять угрозу | Нет |
| Блокировать обычный процесс как антивирус | Нет |
| Создавать полноценный SIEM-alert | Нет |
Sysmon фиксирует факты, а не выносит вердикт. Одно необычное событие еще не доказывает заражение компьютера.
Интерпретация появляется только после анализа контекста и корреляции нескольких событий.
Без настроенной фильтрации журнал может быстро заполниться малополезными событиями.
Sysmon использует XML-файл, в котором задаются:
Если Sysmon уже установлен:
sysmon -c C:\Sysmon\sysmonconfig.xml
Если компонент еще не инициализирован:
sysmon -i C:\Sysmon\sysmonconfig.xml
После изменения XML перезагрузка Windows не требуется — новая конфигурация применяется динамически.
Не включайте все возможные события без проверки. Microsoft предупреждает, что плохо настроенная конфигурация способна создавать очень большой объем журналов.
Приложения постоянно загружают DLL и другие модули. Полная регистрация всех таких операций быстро создает огромный журнал.
Обычные программы регулярно обращаются к другим процессам. Без фильтров полезные события легко потерять среди штатной активности.
Современный браузер способен создавать сотни подключений за короткое время.
Правильный Sysmon — это не максимальное количество событий, а достаточная видимость при минимальном объеме шума.
Одна запись редко дает полноценный ответ. Гораздо полезнее связывать события в цепочку.
По отдельности некоторые действия могут быть легитимными. В связке они уже позволяют понять реальное поведение программы.
Встроенный Sysmon не заменяет Microsoft Defender Antivirus или Microsoft Defender for Endpoint.
Их задачи отличаются:
Поэтому отключать Defender ради использования Sysmon не требуется.
Для одного ПК достаточно Event Viewer. В организации журналы лучше передавать централизованно.
События можно собирать через стандартную инфраструктуру Windows Event Forwarding и Windows Event Collection.
В SIEM данные Sysmon можно сопоставлять с:
Именно в таком сценарии Sysmon особенно полезен для threat hunting и расследования инцидентов.
| Параметр | Встроенный Sysmon | Sysinternals Sysmon |
|---|---|---|
| Установка | Optional feature Windows | Отдельная загрузка |
| Обновление | Через Windows servicing | Обновляется отдельно |
| XML-фильтры | Да | Да |
| Windows Event Log | Да | Да |
| Работа после перезагрузки | Да | Да |
| Одновременная установка двух вариантов | Не поддерживается | Не поддерживается |
С точки зрения основной идеи различия невелики: и встроенный, и standalone Sysmon предназначены для детального журналирования активности системы.
Встроенная версия обслуживается как часть Windows.
Это означает, что Microsoft может обновлять бинарные файлы Sysmon через механизм обновлений операционной системы.
При этом существующая конфигурация сохраняется, а сам компонент не включается автоматически только потому, что Windows получила новую версию его файлов.
Обновление Sysmon и включение мониторинга — разные вещи. Если функция выключена, обновление Windows не должно автоматически начать сбор событий.
Sysmon помогает понять, какие процессы, драйверы и службы реально работали на компьютере до возникновения проблемы.
Он используется для threat hunting, incident response и построения временной шкалы атаки.
Можно отслеживать запуск дочерних процессов, загрузку библиотек, сетевые обращения и созданные файлы приложения.
Постоянный Sysmon чаще всего не нужен. Если нет задачи анализировать журналы, дополнительная телеметрия только усложнит систему диагностики.
Оптимальная стратегия — начинать с небольшого набора действительно полезных категорий.
Хорошая конфигурация Sysmon всегда зависит от среды. Правила для домашнего ПК, компьютера разработчика и корпоративной рабочей станции не должны быть одинаковыми.
Если журнал пустой, проверьте несколько параметров.
Get-Service sysmon*
sysmon -c
Обратите внимание на Event ID 255 — он указывает на внутренние проблемы Sysmon, ошибки операций или нехватку ресурсов.
Sysmon является встроенной возможностью современной Windows и не требует приобретения отдельной программы системного мониторинга. Для самой операционной системы используется лицензия соответствующей редакции Windows 11.
Появление Sysmon непосредственно в Windows 11 26H2 упрощает развертывание профессионального системного мониторинга. Больше не требуется отдельно загружать утилиту Sysinternals: компонент устанавливается как Windows feature и обслуживается вместе с системой.
Главная ценность Sysmon остается прежней — подробная история поведения системы. Он позволяет связывать запуск процессов, DNS-запросы, сетевые соединения, создание файлов, загрузку драйверов и изменения реестра в единую временную цепочку.
При этом Sysmon не является автоматическим детектором вредоносного ПО. Его события нужно фильтровать, сопоставлять и интерпретировать. Поэтому максимальную пользу инструмент дает не при включении всех возможных Event ID, а при аккуратно настроенной XML-конфигурации и централизованном анализе журналов.
Интернет-магазин электронных ключей активации и подписок для операционных систем и офисных приложений.
Средняя оценка -
4.9
Яндекс
Яндекс.Бизнес
Отзовик