Glosario
Sysmon
System Monitor de Sysinternals: controlador y servicio gratuitos que registran en detalle procesos, red, archivos, Registro y DNS en el registro de eventos de Windows.
Sysmon (System Monitor) es una herramienta gratuita de Microsoft Sysinternals y, desde 2026, también una característica opcional integrada en Windows 11 y Windows Server 2025, desactivada de forma predeterminada. Se instala como servicio con un controlador de kernel y escribe telemetría detallada en el registro Microsoft-Windows-Sysmon/Operational: creación de procesos con hashes e información completa del proceso primario (evento 1), conexiones de red (3), acceso a procesos como las lecturas de LSASS (10), creación de archivos (11), cambios en el Registro (12-14), consultas DNS (22) y manipulación de procesos (25), entre otros.
Lo que registra se define mediante una configuración XML; las configuraciones mantenidas por la comunidad son el punto de partida habitual. Sysmon ofrece a los defensores una visibilidad similar a la de un EDR para investigaciones y detecciones en el SIEM sin necesidad de un agente comercial, siempre que sus eventos se reenvíen fuera del equipo.
Consulte la guía de directiva de auditoría y Sysmon.