Microsoft、SysmonをWindows 11、Server 2025に直接統合へ

Microsoft は本日、来年 Sysmon を Windows 11 および Windows Server 2025 にネイティブに統合し、スタンドアロンの Sysinternals ツールの導入が不要になると発表しました。

「来年、Windows 11 および Windows Server 2025 の Windows アップデートにより、Sysmon 機能が Windows にネイティブに導入される予定です」と、 発表 Sysinternals のクリエイター、Mark Russinovich によるものです。

「Sysmon 機能を使用すると、カスタム構成ファイルを使用してキャプチャされたイベントをフィルタリングできます。これらのイベントは Windows イベント ログに書き込まれます。これにより、セキュリティ アプリケーションなどの幅広いユースケースが可能になります。」

Sysmon (またはシステム モニター) は、悪意のある/不審なアクティビティを監視およびブロックし、イベントを Windows イベント ログに記録するように構成できる無料の Microsoft Sysinternals ツールです。

デフォルトでは、Sysmon はプロセスの作成や終了などの基本的なイベントを監視します。ただし、高度な構成ファイルを作成して、監視などのより高度な動作を監視および実行することは可能です。 プロセス改ざん、 DNSクエリ、 実行ファイルの作成、 Windows クリップボードの変更、 そして 削除されたファイルの自動バックアップ。

Sysmon は、Windows の脅威ハンティングや永続的な問題の診断に非常に人気のあるツールですが、通常はデバイスに個別にインストールする必要があるため、管理が難しくなり、大規模な IT 環境では対象範囲が狭まります。

Sysmon が Windows でネイティブにサポートされるようになったことで、ユーザーと管理者は Windows 11 の「オプション機能」設定ダイアログから Sysmon をインストールし、Windows Update を通じて新しいソフトウェア更新プログラムを直接受け取ることができるため、展開と管理がはるかに簡単になります。

Microsoftによると、組み込み機能はカスタム構成ファイルや高度なイベントフィルタリングのサポートなど、Sysmonの標準機能セットを維持するとしている。

インストールしたら、管理者は基本的な監視のために次のコマンドを使用して、コマンド プロンプト経由でこれを有効にできます。

sysmon -i

カスタム構成ファイルを使用してさらに高度な監視を行うには、ユーザーは次のコマンドを使用してそれをデプロイできます。

sysmon -i 

たとえば、C:ProgramData フォルダーと C:Users フォルダーに新しい実行可能ファイルが作成されたときにログを記録したい場合は、次の構成ファイルを使用できます。

  
  MD5,SHA256
  
    
    
    C:ProgramData
    C:Users
    
  

これらのディレクトリのいずれかに新しい実行可能ファイルが作成されると、以下に示すように、Windows はそれをイベント ログに記録します。

Sysmon によって記録されるその他の人気のあるイベントには次のものがあります。

• イベントID 1 – プロセスの作成: 不審なコマンドライン アクティビティを検出するのに役立ちます。
• イベントID 3 – ネットワーク接続: 異常検出または C2 アクティビティのためにアウトバウンド接続をログに記録します。
• イベントID 8 – プロセス アクセス: 資格情報ダンプのために LSASS へのアクセス試行を公開する可能性があります。
• イベントID 11 – ファイル作成: マルウェアのステージングでよく使用されるスクリプト ファイルの生成を追跡します。
• イベントID 25 – プロセス改ざん: プロセスの空洞化やその他の回避手法を特定するのに役立ちます。
• イベントID 20および21 – WMI イベント: WMI コンシューマーとフィルターを通じて永続的なアクティビティをキャプチャします。

Microsoft はまた、来年ついに Sysmon の使用に関する包括的なドキュメントをリリースし、新しいエンタープライズ管理機能と AI を活用した脅威検出機能を導入することを確認しました。

現時点では、環境内で Sysmon をテストまたは展開したい場合は、次の個別のツールを使用して行うことができます。 Sysinternals サイト そしてレビューすることで SwiftOnSecurity の Sysmon 構成例。

MCP (Model Context Protocol) が LLM をツールやデータに接続するための標準となるにつれ、セキュリティ チームはこれらの新しいサービスを安全に保つために急速に動いています。

この無料のチートシートには、今日から始められる 7 つのベスト プラクティスがまとめられています。

今すぐダウンロード