Phenquestions
Microsoft propose une pléthore d'outils utiles pour les utilisateurs finaux qui peuvent être utilisés pour peaufiner, jouer, dépanner, diagnostiquer, sécuriser ou faire n'importe quoi avec le système d'exploitation Windows. Sysinternes Moniteur système (Sysmon), est l'un de ces nouveaux outils conçus pour les ordinateurs Windows qui collecte tous les fichiers journaux du système. Ces fichiers journaux sont très importants et cruciaux pour comprendre les problèmes liés à Windows. Sysmon une fois installé continue de fonctionner en arrière-plan comme dormant et peut être ramené à la vie si nécessaire.
Moniteur système Symon pour Windows
Le flux de travail de base derrière System Monitor est qu'il stocke les informations des agents de collecte d'événements Windows (Observateur d'événements) et de gestion des informations de sécurité et des événements (SIEM), tels que les identifiants de processus, les GUID, les journaux de hachage SHA1, MD5 (SHA256). Il stocke tous ces fichiers sous Applications et services\logs\Microsoft\Windows\Sysmon\operational dossier sous Windows 10/8/7/Vista et sous Journal des événements système dans les anciens systèmes d'exploitation Windows comme Windows XP.
Comment installer le Moniteur système
- Télécharger Sysmon [lien de téléchargement fourni ci-dessous]
- Le fichier téléchargé sera au format zip. Décompressez le fichier à l'aide de l'extracteur de fichiers par défaut de Windows ou essayez Winrar, 7zip, etc.
- Une fois le fichier décompressé, exécutez "Sysmon" acceptez le CLUF et cliquez sur Suivant.
- Attendez que System, Monitor termine l'installation, c'est tout!
Comment utiliser Sysmon
La ligne de commande dans sysmon peut être utilisée pour installer, désinstaller, vérifier et modifier la configuration de System Monitor :
Installer : Sysmon.exe -i [-h [sha1|md5|sha256]] [-n]
Configurer : Sysmon.exe -c [[-h [sha1|md5|sha256]] [-n]|--]
Désinstaller : Sysmon.exe -u
Les quelques commandes que l'utilisateur doit comprendre sont :
-je: installer les programmes de service et de pilote
-m: stocke les journaux de connexion réseau
-vous: désinstaller les programmes de service et de pilote
-c : il met à jour le pilote sysmon installé sur l'ordinateur ou aide à vider les paramètres de configuration actuels disponibles
-h: Il spécifie l'algorithme appliqué au programme [par défaut SHA1 est appliqué]
Exemples:
- Pour installer l'application avec les paramètres par défaut : "sysmon -i accepteula" sans guillemets [SHA1 par défaut]
- Pour installer l'application avec les paramètres MD5 [SHA256] : "sysmon -i accepteula -h md5 -n"
- Pour désinstaller "sysmon -u"
System Monitor stocke les événements tels que les ID d'événement sous,
- ID d'événement 1: Utilisé pour la création de processus,
- ID d'événement 2: Un processus a modifié l'heure de création d'un fichier avec horodatage et
- ID d'événement 3: Pour la connexion réseau.
L'outil continuera à fonctionner en arrière-plan et écrira tous les journaux d'événements dans un dossier. Après l'installation ou la désinstallation, un redémarrage du système n'est pas nécessaire.
C'est un outil indispensable pour tous les ordinateurs fonctionnant sous Windows. Allez récupérer l'outil System Monitor à partir de ici!
METTRE À JOUR: Windows Sysinternals Sysmon enregistre désormais également l'activité des processus dans le journal des événements Windows pour une utilisation par la détection d'incidents et l'analyse judiciaire, inclut les événements de chargement de pilote et de chargement d'image avec des informations de signature, des rapports d'algorithme de hachage configurable, des filtres flexibles pour inclure et exclure des événements et fournir la configuration via un fichier de configuration au lieu de la ligne de commande. Il obtient également la détection de falsification de processus de malware.
