Glossar
Sysmon
Microsoft Sysinternals System Monitor: kostenloser Treiber und Dienst, der Prozess-, Netzwerk-, Datei-, Registrierungs- und DNS-Aktivität ins Ereignisprotokoll schreibt.
Sysmon (System Monitor) ist ein kostenloses Werkzeug von Microsoft Sysinternals und seit 2026 zusätzlich ein integriertes optionales Feature von Windows 11 und Windows Server 2025, das standardmäßig deaktiviert ist. Als Dienst mit Kerneltreiber installiert, schreibt es detaillierte Telemetrie in das Protokoll Microsoft-Windows-Sysmon/Operational: Prozesserstellung mit Hashes und vollständigen Angaben zum übergeordneten Prozess (Ereignis 1), Netzwerkverbindungen (3), Prozesszugriffe wie Lesezugriffe auf LSASS (10), Dateierstellung (11), Registrierungsänderungen (12–14), DNS-Abfragen (22) und Prozessmanipulation (25) sowie weitere.
Was aufgezeichnet wird, legt eine XML-Konfiguration fest; von der Community gepflegte Konfigurationen sind der übliche Ausgangspunkt. Sysmon verschafft Verteidigern EDR-ähnliche Sichtbarkeit für Untersuchungen und SIEM-Erkennungen ohne kommerziellen Agenten – vorausgesetzt, die Ereignisse werden vom Host weitergeleitet.