Ein Problem bei Windows besteht darin, dass es immer schwierig war, genau zu wissen, was es zu einem bestimmten Zeitpunkt im Hintergrund tut. Was macht eine Anwendung, die wir nicht sehen können, wenn Sie sie starten? Es könnte sich um Laichprozesse, eine Verbindung zum Internet oder etwas handeln, was nicht sein sollte, und das ist nicht leicht zu sagen.
Ich habe die Ereignisanzeige Dutzende Male geöffnet, um herauszufinden, was ein bestimmter Prozess vorhatte, aber ich stoße auf kryptischen Jargon, der mir entweder Dinge sagt, die ich bereits wusste, oder etwas Belangloses. Windows teilt Ihnen die grundlegenden Dinge mit, beispielsweise die Tatsache, dass sich ein Benutzer angemeldet hat oder ein Prozess ausgeführt wurde. Das ist großartig, aber es sagt nicht aus, was der Prozess getan hat, als er begonnen hat.
Sysmon ist die Antwort auf die Frage, die Windows nicht beantwortet: Was passiert auf meinem Computer und gibt es etwas, worüber ich mir Sorgen machen sollte? Früher musste es manuell installiert werden, wird aber nun endlich als Teil von Windows 11 integriert, sodass Sie nicht mehr danach suchen müssen.
Was läuft eigentlich auf Ihrem PC?
Die Arten von Ereignissen, die Sysmon tatsächlich protokolliert
Sysmon läuft still im Hintergrund und führt ein detailliertes Protokoll aller Vorgänge auf Ihrem PC. Meistens passiert nichts Interessantes, aber wenn etwas schief geht, können Sie eine detaillierte Aufzeichnung darüber erhalten, was zu diesem Ereignis geführt hat. Wenn eine Anwendung beginnt, zweifelhafte Verbindungen herzustellen, ein Programm etwas tut, was es nicht tun sollte, oder sich etwas ohne Ihr Wissen installiert, verfügt Sysmon über eine zeitgestempelte Aufzeichnung davon.
Zu den erfassten Dingen gehören die Prozesserstellung mit dem vollständigen Befehlskontext, der zu seiner Ausführung verwendet wurde (also statt nur zu sehen, dass PowerShell ausgeführt wurde, sondern das genaue ausgeführte Skript), Netzwerkverbindungen, die bestimmten Programmen zugeordnet sind, Dateien, die an sensiblen Orten erstellt oder geändert wurden, und Versuche eines Prozesses, auf einen anderen zuzugreifen. Schließlich verfügen wir über eine eingebaute Möglichkeit, genau zu sehen, was unter der Oberfläche passiert.
Sobald Sysmon ausgeführt wird, beginnt es mit der Protokollierung von Ereignissen auf Ihrem System. Es gibt keine spezielle Benutzeroberfläche für Sysmon, aber die Datensätze werden in der Ereignisanzeige gespeichert und können dort angezeigt werden. Die von Sysmon speziell protokollierten Datensätze können unter Microsoft->Windows->Sysmon->Betriebsprotokoll eingesehen werden. Sie können es auch vom Terminal aus mit einem Befehl wie diesem abfragen:
Get-WinEvent -LogName "Microsoft-Windows-Sysmon/Operational"
Wenn Sie vor diesem Update bereits die Standalone-Version von Sysmon von der Sysinternals-Website verwendet haben, stellen Sie sicher, dass Sie diese deinstallieren, bevor Sie auf die integrierte Version migrieren. Die beiden werden in Konflikt geraten, wenn sie nebeneinander laufen. Ein Vorteil der Verwendung der Standardversion besteht darin, dass sie wie alles andere Updates über Windows Update erhält, sodass Sie kein separates Tool mehr verwalten müssen.
Was hat Microsoft als nächstes auf Lager?
Noch mehr künstliche Intelligenz
Die Ankündigung von Microsoft, Sysmon Teil von Windows zu sein, enthielt auch einen Teaser über die KI-gestützte Bedrohungserkennung, die die Protokollierung von Sysmon nutzen würde, um verdächtige Muster auf dem Gerät zu kennzeichnen. Angeblich würde dies keine Daten an die Cloud senden. Angesichts der bisherigen Erfolgsbilanz von Microsoft im Bereich KI stehe ich der Integration von KI in das Tool weiterhin skeptisch gegenüber. Theoretisch klingt es gut, dass ein lokales Modell ungewöhnliches Verhalten erkennt und Sie darüber benachrichtigt, aber wir werden sehen, wann diese Funktion wegfällt.
Ein Grund dafür, dass Sysmon so großartig ist, liegt darin, dass es einfach genau das tut, wofür es konfiguriert ist, und zwar ohne Vermutungen. Das Hinzufügen einer KI-Ebene für die Erkennungslogik könnte ein Rückschritt sein, wenn Microsoft den Benutzern nicht die Möglichkeit gibt, sie zu prüfen und mit granularen Kontrollen zu konfigurieren. Es bräuchte außerdem eine gute Dokumentation und einen Ausschalter. Aber wir reden hier von Microsoft, also halte ich nicht den Atem an.
Sysmon ist jetzt einfacher zu verwenden als je zuvor
Einfach einschalten und eine Konfiguration festlegen
Das Update vom März 2026 brachte Sysmon auf Windows Home, Pro und Enterprise. Sie können es aktivieren, indem Sie zu „Einstellungen“ > „System“ > „Optionale Funktionen“ > „Weitere Windows-Funktionen“ gehen, das Kontrollkästchen „Sysmon“ aktivieren und auf „OK“ klicken. Öffnen Sie anschließend PowerShell mit erhöhten Rechten und führen Sie sysmon-i aus, um die Einrichtung abzuschließen. Sysmon kann auch XML-formatierte Konfigurationsdateien ausführen. Sie können Ihre eigene erstellen oder online herunterladen, z. B. die Sysmon-Konfiguration von SwiftOnSecurity oder einen ihrer Forks. Um eine Konfigurationsdatei zu verwenden, führen Sie einfach sysmon-i config.xml aus.
Der Hauptgrund, warum sich viele Power-User nie mit Sysmon beschäftigten, war, dass Sie zusätzliche Software manuell installieren mussten. Da die Funktion nun in Windows integriert ist, können mehr Benutzer die Protokollierungsfunktionen nutzen und einen besseren Überblick darüber erhalten, was hinter den Kulissen auf ihrem System geschieht.
Wenn Sie Sysmon zum ersten Mal einschalten möchten, empfehle ich Ihnen, sich zunächst die Konfigurationsdateien anzusehen. Das Ausführen von Sysmon mit Standardeinstellungen oder allgemeinen Einstellungen führt dazu, dass eine überwältigende Menge an Daten protokolliert wird, was die Verwendung nur schwieriger macht. Die Vorlage von SwiftOnSecurity ist ein guter Ausgangspunkt. Sie können es entweder unverändert verwenden oder Ihre eigenen Änderungen daran vornehmen. Es kann eine Stunde dauern, alle verschiedenen Optionen zu verstehen, aber die Konfigurationsdateien sind XML und leicht zu lesen.
Die Protokollierungslücke hat sich endlich geschlossen
Windows braucht so etwas wie Sysmon schon seit langem. Es wurde ursprünglich im Jahr 2014 veröffentlicht, aber es dauerte bis 2026, bis es standardmäßig Teil von Windows wurde. Wichtig ist, dass es jetzt hier ist, kostenlos ist und auf jeder Edition von Windows 11 funktioniert, die Sie verwenden.
*️⃣ Quelllink:
zu jedem beliebigen Zeitpunkt im Hintergrund ausführen, Ereignisanzeige, Sysmon verfügt über eine zeitgestempelte Aufzeichnung davon, Microsofts Erfolgsbilanz mit KI, Sysmon-Konfiguration von SwiftOnSecurity, Power-User haben sich nie um Sysmon gekümmert,