Windows Server 和 Windows 11 上設定 Sysmon 的完整指南

最後更新： 十月14，2026
作者： 亞歷杭德羅·托雷斯
  • Sysmon 是一款進階遙測工具，可將關鍵系統活動記錄到 Windows 事件檢視器中。
  • 它的實作可以偵測橫向移動、惡意程式碼執行以及註冊表或檔案中的可疑變更。
  • 該系統的有效性取決於 XML 配置文件，該文件可以過濾掉雜訊並優先處理高保真事件。

資料中心內採用藍色燈光照明的現代化伺服器機架，代表 Windows Server 基礎架構。

如果您從事網路安全工作或管理伺服器，您一定知道標準的 Windows 日誌有時無法滿足需求。這時，Sysmon（系統監視器）就派上了用場。這款來自 Sysinternals 套件的優秀工具就像一個靜默的看門狗，記錄系統上每一個可疑的活動，而不會阻塞進程，卻能讓您清晰地了解系統底層的運作狀況。

最有趣的是，儘管微軟已將其作為可選功能整合到 Windows 11 和 Server 2025 中，但預設情況下它是停用的。要利用它，僅僅關閉開關是不夠的；您需要知道如何配置它，才能避免磁碟被垃圾檔案填滿，並提供真正有用的數據，用於取證分析或安全資訊和事件管理 (SIEM) 系統。

Sysmon究竟是什麼？它能為你做什麼？

系統工程師使用筆記型電腦監控資料中心的伺服器。

簡而言之，Sysmon 是一種服務和設備驅動程序，即使在電腦重新啟動後也會駐留在系統中。它的作用是監控系統活動並將資料記錄到 Windows 事件日誌中。與防毒軟體不同，Sysmon 不會掃描惡意活動或阻止其運行；它只是記錄詳細的遙測數據，以便您或您的分析工具能夠檢測異常情況。

  • 流程創建： 它可以捕捉整個命令列，這對於檢測 PowerShell 中的混淆命令來說簡直是無價之寶。
  • 網絡連接： 它可以記錄誰連接到哪個 IP 位址和端口，從而追蹤與命令和控制 (C2) 伺服器的通訊。
  • 數位指紋（雜湊值）： 產生可執行檔的 MD5、SHA1、SHA256 或 IMPHASH 雜湊值，以便與惡意軟體資料庫進行比較。
  • 文件操作： 偵測何時有人試圖更改檔案的建立日期（一種稱為時間戳篡改的技術）。
  • 存取註冊表和 DLL： 監控驅動程式載入和註冊表持久性鍵的變化。
  Windows 12 及相容機型​​新增功能指南

要求和事先檢查

在你急著安裝之前，有一個關鍵細節需要注意：整合版本的 Windows 它與獨立版本兼容性不佳。 來自 Sysinternals。如果您已安裝獨立版本，則需要先解除安裝它以避免衝突。若要檢查是否已有其他程式正在執行，您可以以管理員身分開啟 PowerShell 並執行以下命令。 Get-Service sysmon*如果沒有其他事情發生，你就有一條清晰的道路。

對於使用較新版本的用戶，您可以使用以下命令檢查相容性： Get-WindowsOptionalFeature -Online -FeatureName Sysmon請記住，對於任何此類操作，您都需要 管理員權限 在團隊中。

安裝和啟動步驟

戴著口罩的人與伺服器交互，象徵 Sysmon 幫助偵測的網路安全威脅。

如果您選擇整合到 Windows 11 或 Server 2025 中的版本，則過程相當簡單。首先，您必須 啟用選用功能 使用命令 Enable-WindowsOptionalFeature -Online -FeatureName Sysmon完成此操作後，該服務仍不會產生數據，直到您正式安裝它為止。

對於基本安裝，您可以使用 sysmon -i不過，理想情況下，您應該使用設定檔來完成此操作。如果您想跳過許可證警告，請新增參數。 -接受。 例如， sysmon -accepteula -i C:\config.xml 它將使一切從一開始就能正常運作。

掌握 XML 設定檔

這就是關鍵所在。如果 Sysmon 使用預設設置，將會產生海量的日誌。關鍵在於XML 設定文件，您可以在其中定義要包含哪些事件以及要忽略哪些事件（排除過濾器）。

  Windows 11：更新、復原和安全性方面的新特性

有一些由社群維護的配置方案已成為業界標準，例如SwiftOnSecurity 或 Olaf Hartong (sysmon-modular)提供的方案。這些配置清單已經過最佳化，能夠捕獲真正重要的訊息，並去除常見的作業系統幹擾。

在 XML 中，你可以使用以下之類的標籤： ProcessCreate o NetworkConnect。 如果您使用 onmatch="exclude"你告訴 Sysmon 忽略所有符合該規則的內容；如果你使用 include它只會記錄您指定的內容。請記住，XML 的變更是動態應用的。 sysmon -c ruta\config.xml 無需重啟機器。

網域環境（Active Directory）中的進階部署

IT 專業人員分析監視器上的日誌和程式碼，渲染 Sysmon XML 檔案的配置。

如果您管理一批執行 Windows Server 2025 的伺服器，您肯定不想在每台伺服器上單獨安裝 Sysmon。最明智的做法是使用群組原則 (GPO)和 Windows 事件轉送 (WEF)。您可以將設定檔放在NETLOGON資料夾中，以便所有客戶端自動下載。

若要集中管理日誌，您必須執行以下命令來設定事件收集器： wecutil.exe qc /q 在伺服器上開啟連接埠 TCP 5985（WinRM） 在防火牆中，使用群組原則物件 (GPO)，您可以告知客戶端收集器伺服器的位置，並啟動進階審核子類別，以確保持續流暢的資料流。

事件字典：這些 ID 代表什麼意思？

當您開啟事件檢視器時 Applications and Services Logs > Microsoft > Windows > Sysmon > Operational你會看到一個ID列表。以下是一些最重要的ID，以免你錯過它們：

  • ID 1（流程建立）： 有人啟動了一個程式。請提供程式路徑和參數。
  • ID 3（網路連線）： 應用程式已連接到網路。
  • ID 7（圖像已載入）： DLL 已載入到進程中。請注意，這可能會產生大量噪音。
  • ID 11（檔案建立）： 文件已建立或被覆蓋，非常適合用於監控臨時資料夾。
  • ID 13（註冊事件）： 註冊表值已被修改，這是惡意軟體持久化的典型特徵。
  • ID 22（DNS 查詢）： 系統請求輸入網域名稱。這對於檢測信標至關重要。
  Windows 11 26H2：輕量級更新、人工智慧和擴充支援

驗證和維護

資料中心系統專業人員，負責資訊安全管理。

為確保一切正常運行，最簡單的方法是觸發一個事件。例如，開啟regedit.exe或執行 PowerShell 命令，並驗證 ID 1 是否出現在收集器伺服器或本機檢視器中。如果您發現日誌量過大，則需要調整XML 檔案中的排除篩選器。

關於更新，如果您使用的是內建版本，微軟會透過Windows 更新來處理所有事宜。安全性改進會透過每月修補程式推送，功能改進會透過品質更新推送，您無需重新安裝服務或遺失自訂設定。

正確部署 Sysmon 就像從身處黑暗房間到打開燈一樣。它能讓你追蹤從執行 base64 編碼的 PowerShell 腳本到創建可疑登入金鑰的一切活動，所有資料集中存儲，隨時可供分析。透過將這些遙測資料與 SIEM 或事件收集器結合，你可以將分散的日誌集合轉換為主動防禦策略，在為時已晚之前偵測到入侵者。