Функции, позволяющие получить максимум от Windows, обычно не видны сразу, а требуют включения или загрузки из интернета. Одной из таких функций является Sysmon, который изначально даже не входил в состав Windows, но Microsoft недавно включила его как встроенную дополнительную функцию. Однако, несмотря на то что Sysmon теперь является нативной частью Windows 11, он по-прежнему отключен по умолчанию.
Если вы с ним не знакомы, Sysmon, сокращение от System Monitor, ведет подробный журнал происходящего на вашем ПК, включая такие события, как запуск процессов, сетевые соединения и активность файлов. Он предназначен только для наблюдения, поэтому вы не можете ничего заблокировать с его помощью, но если вы хотите глубже изучить, что приложения и службы делают в фоновом режиме, он предоставит вам надежный журнал активности для работы.
Есть одно важное требование, прежде чем вы начнете. Microsoft заявляет, что встроенная версия не может сосуществовать со стандартной версией Sysinternals, поэтому, если вы ранее вручную устанавливали Sysmon, вам необходимо сначала удалить его.
Вот как включить встроенную версию:
- Откройте PowerShell от имени администратора.
- Выполните следующую команду, чтобы проверить, установлен ли уже Sysmon: Get-Service sysmon*
- Если PowerShell ничего не возвращает, вы можете продолжить. Если он находит службу Sysmon, сначала удалите стандартную версию.
- Включите встроенную функцию Sysmon с помощью команды: Enable-WindowsOptionalFeature -Online -FeatureName Sysmon
- После включения функции установите Sysmon с конфигурацией по умолчанию: sysmon -i
Sysmon отключен по умолчанию, поэтому оба шага необходимы, прежде чем он начнет генерировать события. Как только Sysmon будет запущен, вы можете проверить, действительно ли он регистрирует данные, через “Просмотр событий”.
- Откройте Просмотр событий.
- Перейдите в Журналы приложений и служб > Microsoft > Windows > Sysmon > Operational.
- Там вы должны начать видеть события Sysmon, включая такие, как создание процессов, сетевые соединения и активность файлов.
Открыв журнал Sysmon, вы, вероятно, заметите, что он очень быстро заполняется. Вы можете использовать “Фильтр текущего журнала” в “Просмотре событий”, чтобы сузить его по идентификатору события, или использовать пользовательскую конфигурацию Sysmon, чтобы предотвратить регистрацию нежелательных событий в первую очередь.
Конфигурация по умолчанию достаточна для начала, но Sysmon становится намного полезнее, когда вы предоставляете ему пользовательскую XML-конфигурацию. Это позволяет вам решать, какие журналы событий отслеживать, чтобы Sysmon не генерировал информацию, которая вас не интересует.
Если вы разбираетесь в этом, вы можете создать свою собственную конфигурацию для Sysmon. Но вам не обязательно это делать, так как собственная документация Microsoft по Sysmon рекомендует несколько конфигураций, поддерживаемых сообществом, которых должно быть достаточно для начала. Вы можете ознакомиться с ними в официальном руководстве Microsoft по конфигурации Sysmon.
Если у вас есть собственная XML-конфигурация, вы можете применить ее с помощью команды: sysmon -c C:\Sysmon\sysmonconfig.xml
Однако для большинства людей интересна сама возможность того, что Sysmon теперь встроен в Windows. Вы можете включить его с помощью пары команд, открыть “Просмотр событий” и получить гораздо более детальный обзор того, что программы и службы фактически делают в фоновом режиме.
Всегда имейте в виду, что редакции могут придерживаться предвзятых взглядов в освещении новостей.
Автор – Ivan Jenic
