Sysmon15.12

Sysmon jest monitorem wewnętrznej aktywności Windowsa, działającym jako usługa systemowa i sterownik. Śledzi aktywność systemu plików, Rejestru, stosu sieciowego i działających aplikacji. Uruchamia się na wczesnym etapie rozruchu systemu, wychwytując praktycznie wszystkie detale.

Aby zainstalować Sysmon, należy uruchomić konsolę (CMD.exe) z uprawnieniami administratora, a następnie wejść do katalogu z plikiem i wydać polecenie sysmon -i do monitorowania procesów lub sysmon -i -n , jeśli chcemy też monitorować połączenia sieciowe. Wyświetlona zostanie wówczas licencja programu – jeśli się na nią zgadzamy, program zostanie zainstalowany i zacznie działać po restacie systemu.

Podstawowy wgląd w aktywność Sysmona można uzyskać poprzez systemowy Podgląd zdarzeń (Eventvwr.msc) – w gałęzi Dzienniki aplikacji i usług\Microsoft\Windows\Sysmon\Operational. Tam zobaczymy listę wydarzeń, których źródłem jest Sysmon – szczegóły możemy sprawdzić po kliknięciu.

Logi można oczywiście filtrować i czyścić, a samą aktywnością Sysmona zarządzać przez menu kontekstowe (prawy przycisk myszy) nad pozycją Operational.

Aby odinstalować Sysmona, należy skorzystać z polecenia (w konsoli) sysmon -u. Usunie to sterownik i usługę systemową bez konieczności restartu.

Dokumentację tego potężnego narzędzia można znaleźć na stronach Windows Sysinternals.