Native Sysmon-Integration in Windows rückt näher

Die native Version von Sysmon in Windows kommt. Microsoft hat Insider-Vorschau-Versionen von Windows veröffentlicht, in denen das Feature nun aktiviert werden kann.

In den aktuellen Windows-Insider-Vorschau-Versionen im Developer-Kanal (Build-Nummer 26300.7733, KB5074178) und im Beta-Kanal (Build 26220.7752, KB5074177) bringt das Betriebssystem Windows 11 die Sysmon-Funktion nativ zu Windows. „Mit der Sysmon-Funktion können Sie Systemereignisse erfassen, die bei der Erkennung von Bedrohungen helfen können, und Sie können benutzerdefinierte Konfigurationsdateien verwenden, um die Ereignisse zu filtern, die Sie überwachen möchten“, erklärt Microsoft in den Versionsankündigungen. „Die mitgeschnittenen Ereignisse werden in das Windows-Ereignisprotokoll geschrieben, sodass sie mit Sicherheitsanwendungen und einer Vielzahl von Anwendungsfällen verwendet werden können“, erörtern die Entwickler weiter.

Native Sysmon-Unterstützung aktivieren

Standardmäßig ist Sysmon deaktiviert und muss explizit angeschaltet werden. Das geht entweder über die „Einstellungen“ – „System“ – „Optionale Features“ und dort unter „Verwandte Einstellungen“ – „Mehr Windows-Funktionen“, was die Dialog-Box in altbekannter Optik mit dem Namen „Windows-Features aktivieren oder deaktivieren“ öffnet und dort dem Anhaken von „Sysmon“. In der Eingabeaufforderung oder in der PowerShell klappt das zudem durch den Aufruf von Dism /Online /Enable-Feature /FeatureName:Sysmon. Um die Installation abzuschließen, muss an PowerShell oder Eingabeaufforderung noch der Aufruf sysmon -i abgesetzt werden. Die Entwickler von Microsoft weisen explizit darauf hin, dass diejenigen, die Sysmon bereits von der Webseite geladen und installiert haben, diese Fassung zuvor deinstallieren müssen. Die Dokumentation ist jedoch noch nicht fertig, die „wird bald zu Windows hinzugefügt“.

Bei Sysmon („Systemmonitor“) handelt es sich um ein mächtiges Werkzeug, das bei der Diagnose von Problemen hilfreich ist. Sysmon protokolliert diverse Systemaktivitäten, etwa Prozesserstellung, das Laden von Treibern oder Bibliotheken sowie von Netzwerkverbindungen. „Auf diese Weise können Sie schädliche oder anomale Aktivitäten erkennen und verstehen, wie Angreifer und Schadsoftware in Ihrem Netzwerk agieren“, erklärt Microsoft auf der Sysmon-Webseite.

Die Windows-Vorschau-Version hat zudem noch Unterstützung für die Niederlande für den Sprachzugriff und minimale Fehlerkorrekturen für kleine Problemchen erhalten. Mark Russinovich, Entwickler von Sysmon und den anderen Sysinternals-Werkzeugen, hatte die Sysmon-Integration im vergangenen November bereits angekündigt.

(dmk)