In questo articolo Indice dei contenuti 3 sezioni
Microsoft ha trasformato Sysmon in una funzionalità integrata di Windows 11, però trovarlo nel sistema operativo non significa che il componente sia già attivo e stia davvero registrando ciò che succede sul computer. L’utilità consente un monitoraggio in tempo reale molto dettagliato: tiene traccia dell’avvio dei processi, delle connessioni di rete, delle modifiche a file e registro e di altri eventi preziosi per analisi, risoluzione dei problemi e sicurezza. C’è poi un dettaglio da non trascurare. Molti utenti e amministratori usano da anni la versione standalone di Sysinternals, installata a mano, e Microsoft chiarisce nella propria documentazione che la release integrata e quella autonoma non possono essere abilitate insieme sullo stesso dispositivo. Prima di attivare qualsiasi cosa conviene quindi capire cosa c’è già sul PC.
Come scoprire se Sysmon è già presente su Windows 11
Il primo passo suggerito da Microsoft consiste nell’aprire PowerShell con i diritti di amministratore, passando dalla combinazione Windows+X e scegliendo Terminale amministratore oppure Windows PowerShell amministratore. Da lì basta interrogare l’elenco dei servizi cercando quelli il cui nome comincia con sysmon. Se non compare nulla, sul sistema non esiste alcun servizio legato all’utilità. Se invece salta fuori un risultato è il caso di fermarsi un attimo, perché potrebbe trattarsi di un servizio chiamato Sysmon o Sysmon64, nello stato Running oppure Stopped.
Per sapere quale eseguibile sia collegato a quel servizio si può chiedere direttamente a Windows tramite CIM, cioè il Common Information Model, filtrando i servizi per nome e mostrando stato, modalità di avvio e percorso. Proprio la colonna PathName è la più utile, dato che rivela da quale cartella il sistema lancia l’utilità. Su un PC con una vecchia installazione autonoma, per esempio, il percorso potrebbe puntare alla directory in cui l’amministratore aveva estratto il pacchetto Sysinternals.
Esiste anche un controllo specifico per la funzionalità opzionale integrata. Interrogando PowerShell sulla feature chiamata Sysmon, l’informazione da guardare è il campo State: Disabled indica che il componente di Windows 11 non è attivo, Enabled che invece è stato abilitato. Attenzione però, perché Enabled non vuol dire che lo strumento stia monitorando il sistema. Per vedere la configurazione corrente senza toccarla si usa il comando sysmon /c.
Rimuovere la vecchia installazione e attivare quella integrata
Se sul computer gira già la versione standalone, va eliminata prima di abilitare quella di sistema. La disinstallazione avviene con lo stesso eseguibile, sysmon oppure sysmon64 a seconda di come era stato installato, accompagnato dall’opzione u. Dopo aver verificato che il vecchio servizio sia sparito si può procedere. Vale la pena conservare l’eventuale file XML della configurazione precedente, perché contiene le regole su quali eventi raccogliere e filtrare e può essere riutilizzato dopo averne controllato la compatibilità con la versione attuale.
Quando i controlli confermano l’assenza della release autonoma, la funzionalità integrata si abilita da PowerShell oppure premendo Windows+R, digitando optionalfeatures e spuntando la casella Sysmon. Serve poi installare servizio e driver lanciando sysmon con l’opzione i, e da quel momento partono le registrazioni secondo la configurazione attiva. Per una verifica rapida si apre il Visualizzatore eventi con Windows+R ed eventvwr.msc, seguendo il percorso Registri applicazioni e servizi, Microsoft, Windows, Sysmon, Operational. Se compaiono nuovi eventi, Sysmon sta lavorando davvero. Lo stesso controllo si può fare da PowerShell leggendo gli ultimi dieci eventi del registro. Per sfruttare a fondo lo strumento è comunque consigliabile applicare un file di configurazione XML che stabilisca cosa registrare e cosa ignorare.
Serve tenerlo sempre acceso?
L’utilità, nata nella suite Sysinternals, è pensata per un funzionamento continuativo. Una volta installati servizio e driver resta residente anche dopo il riavvio e continua a registrare gli eventi previsti. Il driver viene caricato già nelle prime fasi di avvio di Windows, così da intercettare attività che avvengono prima che il sistema sia completamente operativo.
Questo non obbliga però a mantenerlo attivo per sempre su un normale PC. Se occorre solo per una diagnosi temporanea, per studiare il comportamento di un programma o per raccogliere dati durante un’attività precisa, lo si può installare all’occorrenza con l’opzione i, indicando eventualmente subito il file di configurazione XML. Quando il monitoraggio non serve più, servizio e driver si rimuovono con l’opzione u. Né l’installazione né la disinstallazione richiedono il riavvio del sistema.
Fonte: TecnoAndroid
