Microsoft ha comenzado a implementar la funcionalidad de Sysmon integrada en ciertos sistemas Windows 11 dentro del programa Windows Insider, facilitando la monitorización de amenazas y la auditoría de seguridad para administradores de TI.
¿Qué es Sysmon?
Sysmon, abreviatura de System Monitor, forma parte de la suite Sysinternals de Microsoft. Es un servicio del sistema y controlador de dispositivo que registra eventos importantes, tales como:
- Creación y terminación de procesos
- Creación de archivos ejecutables
- Manipulación de procesos
- Cambios en el portapapeles
- Copia automática de archivos eliminados
Tradicionalmente, Sysmon requería instalación manual en cada dispositivo, lo que complicaba su despliegue y configuración en organizaciones grandes.
Sysmon nativo en Windows 11
Con esta actualización, Windows 11 incluye Sysmon de manera nativa, aunque viene desactivado por defecto. Los usuarios deben habilitarlo manualmente para garantizar un despliegue y configuración correctos.
Cómo activar Sysmon nativo:
- Desinstala cualquier versión previa de Sysmon obtenida desde la web de Sysinternals.
- Accede a:
Configuración > Sistema > Funciones opcionales > Más características de Windows > Sysmon
o mediante PowerShell / Símbolo del sistema:Dism /Online /Enable-Feature /FeatureName:Sysmon sysmon -i
Una vez activado, los eventos de Sysmon se registran en el Registro de eventos de Windows, haciéndolos accesibles para aplicaciones de seguridad, SIEMs y sistemas de monitorización personalizados.
¿Quién recibe la función primero?
La función se está desplegando para Windows Insiders en los canales Beta y Dev:
- Build 26220.7752 (KB5074177) – Canal Beta
- Build 26300.7733 (KB5074178) – Canal Dev
¿Por qué es importante?
La integración nativa de Sysmon en Windows 11 simplifica:
- La detección de amenazas y monitorización de endpoints
- El despliegue y gestión en entornos empresariales
- La integración con herramientas de seguridad sin necesidad de instalación manual
Los administradores ahora pueden aprovechar Sysmon sin depender de scripts de despliegue de terceros, optimizando la auditoría y las capacidades forenses del sistema.