IT-Sicherheit: Microsoft integriert Sysmon erstmals fest in Windows 11

Microsoft integriert nun, wie bereits vor einigen Wochen ange­kündigt, erstmals den System Monitor (Sysmon) als native Komponente direkt in das Betriebssystem. Mit der neuen Winodws 11-Vorschau im Dev-Kanal kann man mittesten.

Windows 11 integriert Sysmon nativ

Die native Implementierung erlaubt es Administratoren, die Sysmon-Funktionalität ohne manuelle Downloads bereitzustellen und Updates direkt über den Windows-Update-Mechanismus zu beziehen. Für Kenner der Materie ist dies eine historische Zäsur.

Sysmon, ursprünglich Teil der 1996 von Mark Russinovich und Bryce Cogswell gegründeten Sysinternals Suite, gehört seit der Übernahme durch Microsoft im Jahr 2006 zu den wichtigsten Werkzeugen für die Forensik und das "Blue Teaming". Im Gegensatz zum herkömmlichen Windows-Ereignisprotokoll, das oft nur rudimentäre Informationen liefert, bietet Sysmon einen tiefen Einblick in die Prozessaktivitäten.

Aktivierung und Voraussetzungen

Microsoft liefert die Funktion standardmäßig deaktiviert aus, um Ressourcen auf Endgeräten zu schonen, die keine tiefgreifende Überwachung benötigen. Wie das Windows-Insider-Team im aktuellen Blogbeitrag hervorhebt, haben Nutzer die Wahl zwischen einer Aktivierung über die grafische Oberfläche in den Einstellungen unter "Optionale Features" oder über die Kommandozeile.

Für die Automatisierung in größeren Umgebungen empfiehlt sich der Weg über das Deployment Image Servicing and Management (DISM). Administratoren müssen dabei jedoch eine wichtige Einschränkung beachten: Sollte auf dem Zielsystem bereits eine Standalone-Version von Sysmon installiert sein, muss diese zwingend entfernt werden, bevor die integrierte Variante aktiviert wird, um Konflikte bei den Treibern zu vermeiden.

Die native Version unterstützt dabei dieselben Ereignis-IDs (Event IDs) wie die klassische Variante. Zu den wichtigsten Ereignissen, die nun systemseitig überwacht werden, zählen:

Neuerungen im Build 26300

Neben der Sicherheitskomponente bringt das Update im Dev Channel weitere Verbesserungen. Der Sprachzugriff (Voice Access) wurde um die Unterstützung für Niederländisch erweitert, was die Barrierefreiheit weiter verbessert. Zudem adressiert Microsoft diverse Fehler im Datei-Explorer, darunter Probleme bei der Tastaturnavigation und beim Umbenennen von Ordnern, die den Arbeitsfluss bisher stören konnten.

Ein besonders hartnäckiger Fehler, der beim Arbeiten mit Dateien auf Cloud-Speichern wie OneDrive oder Dropbox zum Einfrieren von Anwendungen führen konnte, wurde ebenfalls behoben.

Nutzt ihr Sysmon bereits zur Überwachung eurer Systeme oder plant ihr den Einsatz der nativen Version für eure Sicherheitsstrategie? Schreibt uns eure Erfahrungen und Meinungen gerne in die Kommentare!

Download Sysinternals Suite - Windows-Werkzeugsammlung
Siehe auch: