Функциите, които ви позволяват да извлечете максимума от Windows обикновено не са видими веднага, а изискват или активиране, или изтегляне от интернет. Една от тези функции е Sysmon, която първоначално дори не беше част от Windows, но наскоро Microsoft я включи като вградена опционална функция. Въпреки това, макар че Sysmon вече е неразделна част от Windows 11, по подразбиране тя все още е деактивирана.
В случай че не сте запознати, Sysmon (съкращение от System Monitor) води подробен регистър на това, което се случва на вашия компютър, включително стартиране на процеси, мрежови връзки и файлова активност. Тя служи само за наблюдение, така че не можете да блокирате нищо с нея, но ако искате да проучите по-задълбочено какво правят приложенията и услугите във фонов режим, тя ви предоставя солиден регистър на активността, с който да работите. Има едно важно изискване, преди да започнете. Microsoft посочва, че вградената версия не може да съществува едновременно с самостоятелната версия на Sysinternals, така че ако вече сте инсталирали Sysmon ръчно в миналото, първо трябва да я премахнете.
Ето как да активирате Sysmon:
Отворете PowerShell като администратор Изпълнете следната команда, за да проверите дали Sysmon вече е инсталиран: Get-Service sysmon* Ако PowerShell не върне никакви резултати, можете да продължите. Ако открие услугата Sysmon, първо деинсталирайте самостоятелната версия. Активирайте вградената функция Sysmon с: Enable-WindowsOptionalFeature -Online -FeatureName Sysmon След като функцията е активирана, инсталирайте Sysmon с неговата конфигурация по подразбиране: sysmon -iSysmon е деактивиран по подразбиране, така че и двете стъпки по-долу са необходими, преди той да започне да генерира събития. Щом Sysmon започне да работи, можете да проверите дали действително записва данни чрез Event Viewer.
Отворете старт менюто, въведете Event Viewer и влезте в програмата. Отидете в „Applications and Services Logs > Microsoft > Windows > Sysmon > Operational“. Там трябва да започнете да виждате събития на Sysmon, включително такива като създаване на процеси, мрежови връзки и файлова активност.
След като отворите лога на Sysmon, вероятно ще забележите, че той се запълва много бързо. Можете да използвате опцията за филтриране в Event Viewer, за да стесните резултатите по идентификационен номер на събитие, или да използвате персонализирана конфигурация на Sysmon, за да предотвратите от самото начало записването на нежелани събития.
Конфигурацията по подразбиране е достатъчна, за да започнете, но Sysmon става много по-полезен, след като му зададете персонализирана XML конфигурация. Това ви позволява да решите кои регистри на събития да проследявате, така че Sysmon да не генерира регистър с информация, която не ви интересува.
Ако се ориентирате добре в това, можете да създадете своя собствена конфигурация за Sysmon, но не е задължително да го правите, тъй като самата документация на Microsoft за Sysmon препоръчва няколко конфигурации, поддържани от общността, които би трябвало да са достатъчни, за да започнете. Можете да ги разгледате в официалното ръководство за конфигуриране на Sysmon от Microsoft.
Ако разполагате със собствена XML конфигурация, можете да я приложите чрез следната команда: sysmon -c C:Sysmonsysmonconfig.xml
За повечето хора обаче най-интересното е просто фактът, че Sysmon вече е вграден в Windows. Можете да го активирате с няколко команди, да отворите Event Viewer и да получите много по-подробна представа за това какво всъщност правят програмите и услугите на заден план.