Sysmon è un servizio di Windows e driver che registra processi e creazioni di file, modifiche al registro, tentativi di modificare la data di creazione di un file, le connessioni di rete e altro ancora, con lo scopo di aiutarvi ad identificare attività dannose ma potrebbe anche essere utile nella risoluzione di problemi generali o se ne avrete bisogno di conoscere alcuni dettagli di base su come viene utilizzato un PC.
Per installare Sysmon dovrete avviarlo da un prompt dei comandi con privilegi elevati e utilizzare il comando “Sysmon -i” per installarlo e registrare solo le creazioni del processo, oppure “Sysmon -i -n” per monitorare anche le connessioni di rete.
Se tutto ha funzionato correttamente, verrà visualizzato l’EULA di Sysinternals; una volta riavviato Windows, potrete avviare il Visualizzatore eventi (Eventvwr.msc) e accedere al log di applicazioni e servizi, permettendovi di visualizzare più eventi che elencano Sysmon come fonte, insieme alla loro data e ora, fornendo molti più dettagli su ciò che è accaduto durante l’avvio del sistema.
Le attività di gestione dei log di base possono essere eseguite nel Viewer degli eventi, come al solito sarà possibile filtrare il log, visualizzare solo gli eventi necessari, cercare qualcosa di importante, disabilitare la registrazione quando non è più necessaria, salvare gli eventi in un file e così via.
