- Sysmon es una herramienta de telemetría avanzada que registra actividades críticas del sistema en el Visor de Eventos de Windows.
- Su implementación permite detectar movimientos laterales, ejecución de código malicioso y cambios sospechosos en el registro o archivos.
- La eficacia del sistema depende de un archivo de configuración XML que filtre el ruido y priorice eventos de alta fidelidad.
Si te dedicas a la seguridad informática o administras servidores, sabrás que los logs estándar de Windows a veces se quedan cortos. Aquí es donde entra en juego Sysmon (System Monitor), una joya de la suite Sysinternals que actúa como un vigilante silencioso, anotando cada movimiento sospechoso en el sistema sin bloquear procesos, pero dándote una visibilidad brutal sobre lo que ocurre bajo el capó.
Lo más interesante es que, aunque Microsoft ya lo ha integrado como una característica opcional en Windows 11 y Server 2025, viene desactivado de fábrica. Para sacarle partido, no basta con darle al interruptor de encendido; hay que saber configurarlo para que no te llene el disco de basura y te dé datos que realmente sirvan para un análisis forense o para alimentar un SIEM.
¿Qué es exactamente Sysmon y qué puede hacer por ti?
Básicamente, es un servicio y un controlador de dispositivo que se queda residente incluso después de reiniciar el equipo. Su misión es monitorizar la actividad del sistema y volcar esos datos en el registro de eventos de Windows. A diferencia de un antivirus, Sysmon no analiza si algo es malo ni impide que se ejecute; simplemente registra la telemetría detallada para que tú, o tu herramienta de análisis, podáis detectar anomalías.
- Creación de procesos: Captura la línea de comandos completa, lo que es oro puro para detectar comandos ofuscados en PowerShell.
- Conexiones de red: Registra quién se conecta a qué IP y puerto, permitiendo rastrear comunicaciones con servidores de mando y control (C2).
- Huellas digitales (Hashes): Genera hashes MD5, SHA1, SHA256 o IMPHASH de los ejecutables para compararlos con bases de datos de malware.
- Manipulación de archivos: Detecta cuando alguien intenta cambiar la fecha de creación de un archivo (técnica conocida como timestomping).
- Acceso al registro y DLLs: Vigila la carga de controladores y cambios en claves de persistencia del registro.
Requisitos y comprobaciones previas
Antes de lanzarte a instalarlo, hay un detalle fundamental: la versión integrada de Windows no se lleva bien con la versión independiente de Sysinternals. Si tienes la versión «standalone» instalada, tendrás que borrarla primero para evitar conflictos. Para comprobar si ya tienes algo corriendo, puedes abrir PowerShell como administrador y ejecutar Get-Service sysmon*. Si no sale nada, tienes el camino libre.
Para los que usan versiones modernas, se puede verificar la compatibilidad con el comando Get-WindowsOptionalFeature -Online -FeatureName Sysmon. Recuerda que para cualquier operación de este tipo necesitarás privilegios de administrador en el equipo.
Pasos para la instalación y activación
Si optas por la versión integrada en Windows 11 o Server 2025, el proceso es bastante directo. Primero, debes habilitar la característica opcional mediante el comando Enable-WindowsOptionalFeature -Online -FeatureName Sysmon. Una vez hecho esto, el servicio sigue sin generar datos hasta que lo instales formalmente.
Para una instalación básica, puedes usar sysmon -i, pero lo ideal es hacerlo ya con un archivo de configuración. Si quieres saltarte el aviso de la licencia, añade el parámetro -accepteula. Por ejemplo, sysmon -accepteula -i C:\config.xml hará que todo quede operativo desde el primer segundo.
Dominando los archivos de configuración XML
Aquí es donde se separa el grano de la paja. Si dejas Sysmon con la configuración por defecto, vas a generar una cantidad de logs absurda. La clave está en el archivo de configuración XML, donde defines qué eventos quieres incluir y cuáles quieres ignorar (filtros de exclusión).
Existen configuraciones mantenidas por la comunidad que son el estándar de la industria, como las de SwiftOnSecurity o Olaf Hartong (sysmon-modular). Estas listas ya vienen optimizadas para capturar lo que realmente importa y descartar el ruido habitual del sistema operativo.
Dentro del XML, puedes jugar con etiquetas como ProcessCreate o NetworkConnect. Si usas onmatch=»exclude», le dices a Sysmon que ignore todo lo que coincida con esa regla; si usas include, solo registrará aquello que especifiques. No olvides que los cambios en el XML se aplican dinámicamente con sysmon -c ruta\config.xml sin necesidad de reiniciar la máquina.
Despliegue avanzado en entornos de Dominio (Active Directory)
Si gestionas un parque de servidores con Windows Server 2025, no vas a ir PC por PC instalando Sysmon. Lo más inteligente es usar Directivas de Grupo (GPO) y el Reenvío de Eventos de Windows (WEF). Puedes colocar el archivo de configuración en la carpeta NETLOGON para que todos los clientes lo descarguen automáticamente.
Para centralizar los logs, debes configurar un recolector de eventos ejecutando wecutil.exe qc /q en el servidor y abrir el puerto TCP 5985 (WinRM) en el cortafuegos. Mediante una GPO, indicas a los clientes quién es el servidor recolector y activas las subcategorías de auditoría avanzada para que el flujo de datos sea constante y fluido.
Diccionario de Eventos: ¿Qué significan esos IDs?
Cuando abras el Visor de Eventos en Applications and Services Logs > Microsoft > Windows > Sysmon > Operational, verás una lista de IDs. Aquí tienes los más críticos para no perderte:
- ID 1 (Process Create): Alguien ha lanzado un programa. Incluye la ruta y los argumentos.
- ID 3 (Network Connection): Una aplicación se ha conectado a la red.
- ID 7 (Image Loaded): Se ha cargado una DLL en un proceso. Cuidado aquí, puede generar mucho ruido.
- ID 11 (File Create): Se ha creado o sobrescrito un archivo, ideal para vigilar carpetas temporales.
- ID 13 (Registry Event): Se ha modificado un valor del registro, clave típica para la persistencia de malware.
- ID 22 (DNS Query): El sistema ha preguntado por un dominio. Fundamental para detectar beaconing.
Validación y mantenimiento
Para asegurarte de que todo funciona, lo más sencillo es provocar un evento. Por ejemplo, abre el regedit.exe o lanza un comando de PowerShell y comprueba que el ID 1 aparezca en el servidor recolector o en el visor local. Si notas que el volumen de logs es inmanejable, es el momento de ajustar los filtros de exclusión en tu XML.
En cuanto a las actualizaciones, si usas la versión integrada, Microsoft se encarga de todo a través de los Windows Updates. Las mejoras de seguridad llegan en los parches mensuales y las funcionales en las actualizaciones de calidad, sin que tengas que reinstalar el servicio ni perder tu configuración personalizada.
Tener Sysmon bien puesto es como pasar de ver una habitación a oscuras a encender la luz. Te permite rastrear desde la ejecución de un script de PowerShell codificado en base64 hasta la creación de una clave de inicio sospechosa, todo centralizado y listo para ser analizado. Al combinar esta telemetría con un SIEM o un recolector de eventos, transformas un montón de logs aislados en una estrategia de defensa activa capaz de detectar intrusos antes de que sea demasiado tarde.