Sysmon Introdução, instalação e configuração

O que é o Sysmon?

O Sysmon faz parte do conjunto de ferramentas Sysinternals Suite, desenvolvido por Mark Russinovich e Bryce Cogswell. Ele é executado como um serviço do Windows que coleta informações de baixo nível e as registra no Windows Event Log sob o canal Microsoft-Windows-Sysmon/Operational.

Com esses registros, analistas de segurança podem identificar comportamentos suspeitos, como criação de processos anômalos, conexões de rede não autorizadas e alterações em arquivos críticos do sistema.

• 📦 Nome do serviço: Sysmon
• 📄 Fonte de log: Microsoft-Windows-Sysmon
• 🧠 Uso principal: Detecção de ameaças, DFIR e monitoramento contínuo

Por que usar o Sysmon?

O Sysmon é uma ferramenta indispensável em ambientes de segurança corporativa e SOCs (Security Operation Centers). Ele complementa soluções de SIEM, como o Microsoft Sentinel ou o Splunk, fornecendo logs ricos e detalhados sobre o comportamento interno do sistema.

Entre as principais vantagens do Sysmon estão:

• Visibilidade Profunda: Captura detalhes de processos, hashes e conexões.
• Baixo Consumo de Recursos: Roda como um serviço leve.
• Customização: Permite definir regras para filtrar ou priorizar eventos específicos.
• Integração: Compatível com ELK Stack, Sentinel e outras plataformas SIEM.

Como Instalar o Sysmon

Antes de instalar o Sysmon, é recomendável criar um ponto de restauração do sistema e garantir que você possua privilégios administrativos. A instalação é simples e pode ser feita via linha de comando.

1. Baixar o Sysmon

Faça o download do pacote diretamente do site oficial da Microsoft:

Download do Sysmon – Sysinternals

2. Extrair o arquivo

Após o download, extraia o conteúdo do arquivo ZIP. Ele conterá dois executáveis:

• Sysmon.exe – versão de 32 bits
• Sysmon64.exe – versão de 64 bits

3. Instalar o Sysmon

Abra o Prompt de Comando como Administrador e execute:

sysmon64.exe -i sysmonconfig.xml

O parâmetro -i indica que o Sysmon deve ser instalado e configurado de acordo com o arquivo XML fornecido.

Configuração Inicial

O Sysmon depende de um arquivo de configuração XML que define quais eventos serão registrados. Um dos modelos mais populares é o Sysmon Config by SwiftOnSecurity, amplamente utilizado por profissionais de segurança.

Você pode personalizar esse arquivo para incluir ou excluir eventos conforme necessário. Por exemplo:

<RuleGroup name="NetworkConnect" groupRelation="or">
  <NetworkConnect onmatch="include">
    <DestinationPort>80</DestinationPort>
    <DestinationPort>443</DestinationPort>
  </NetworkConnect>
</RuleGroup>

Esse trecho captura conexões de rede HTTP e HTTPS, o que é útil para monitorar tráfego web.

Monitorando Eventos do Sysmon

Após a instalação, você pode visualizar os logs através do Visualizador de Eventos do Windows:

Event Viewer → Applications and Services Logs → Microsoft → Windows → Sysmon → Operational

Os principais eventos registrados incluem:

• Event ID 1: Criação de processo
• Event ID 3: Conexões de rede
• Event ID 7: Criação de arquivo
• Event ID 11: Criação de chave de registro
• Event ID 22: Carregamento de driver

Esses logs podem ser exportados para análise em ferramentas SIEM ou scripts PowerShell.

Boas Práticas de Uso

• Atualize regularmente o Sysmon e o arquivo de configuração XML.
• Evite registrar todos os eventos — isso pode gerar ruído e grandes volumes de logs.
• Use filtros para capturar apenas o que é relevante (por exemplo, processos fora do C:\Windows\System32).
• Integre com o Windows Event Forwarding (WEF) para centralizar logs.

Resumo

O Sysmon é uma ferramenta essencial para monitoramento avançado do Windows. Com uma configuração bem planejada, ele oferece dados valiosos sobre a atividade do sistema e ajuda na detecção precoce de ameaças. Seu uso, aliado a boas práticas de análise de logs, pode fortalecer significativamente a segurança de qualquer ambiente corporativo.

FAQ – Perguntas Frequentes

1. O Sysmon é gratuito?

Sim. O Sysmon é uma ferramenta gratuita e oficial da Microsoft, parte do pacote Sysinternals.

2. Posso usar o Sysmon em servidores?

Sim, ele é amplamente utilizado em servidores Windows para monitoramento contínuo e auditoria.

3. O Sysmon substitui um antivírus?

Não. O Sysmon é uma ferramenta de monitoramento, não de prevenção. Ele complementa o antivírus fornecendo dados detalhados sobre atividades suspeitas.

4. Onde ficam os logs do Sysmon?

Os logs estão no Visualizador de Eventos do Windows, em “Applications and Services Logs > Microsoft > Windows > Sysmon”.

5. Como desinstalar o Sysmon?

Execute sysmon64.exe -u no Prompt de Comando com privilégios administrativos.