Glossaire
Sysmon
System Monitor de Sysinternals : un pilote et un service gratuits qui journalisent en détail processus, réseau, fichiers, registre et DNS dans l'Observateur d'événements.
Sysmon (System Monitor) est un outil gratuit de Microsoft Sysinternals et, depuis 2026, également une fonctionnalité facultative intégrée à Windows 11 et Windows Server 2025, désactivée par défaut. Installé comme un service accompagné d'un pilote noyau, il écrit une télémétrie détaillée dans le journal Microsoft-Windows-Sysmon/Operational : création de processus avec hachages et informations complètes sur le parent (événement 1), connexions réseau (3), accès aux processus comme les lectures de LSASS (10), création de fichiers (11), modifications du registre (12 à 14), requêtes DNS (22) et falsification de processus (25), entre autres.
Ce qu'il enregistre est défini par une configuration XML ; les configurations maintenues par la communauté constituent le point de départ habituel. Sysmon offre aux défenseurs une visibilité proche d'un EDR pour les investigations et les détections SIEM, sans agent commercial, à condition que ses événements soient transférés hors de l'hôte.
Voir le guide Audit Windows et Sysmon : un socle de journalisation.