Microsoft a tenu sa promesse d'intégrer la fonctionnalité Sysmon à Windows. Elle permet aux administrateurs de capturer les événements système via des fichiers de configuration personnalisés, de filtrer des événements spécifiques et de les enregistrer dans le journal des événements Windows standard pour qu'ils puissent être récupérés par des logiciels tiers, notamment des outils de sécurité. Sysmon est arrivé cette semaine dans les canaux Dev et Beta Windows Insider, respectivement dans les versions 26300.7733 et 26220.7752. Cette nouvelle fonctionnalité intervient dans un contexte de controverses liées aux choix de Microsoft en matière d'IA. Microsoft a annoncé pour la première fois en novembre son intention d'intégrer Sysmon de manière native dans Windows 11 et Windows Server, confirmant aussi qu'il publierait prochainement une documentation détaillée à ce sujet. C'est désormais chose faite et cet ajout constitue l'une des rares fonctionnalités réellement utiles introduites par Microsoft depuis son virage vers l'IA. « Ils ne l'ont pas encore renommé Copilot Sysmon ? », a ironisé un critique.
Sysmon (abréviation de System Monitor) est un outil gratuit qui fait partie de la suite d'outils Microsoft Sysinternals, ainsi qu'un service système et un pilote de périphérique Windows. Il surveille et bloque les activités malveillantes/suspectes, en les consignant dans le journal des événements Windows.
Bien qu'il surveille par défaut les événements de base, tels que la création et la fin des processus, il peut aussi être configuré pour surveiller des comportements plus complexes, notamment la création de fichiers exécutables, la falsification de processus, les modifications du presse-papiers Windows et même la sauvegarde automatique des fichiers supprimés. Cet ajout s'avère utile à une époque où les menaces cybernétiques sont plus importantes que jamais.
Ajout natif de Sysmon dans Windows : pourquoi est-ce important ?
Bien que Sysmon soit une application très populaire pour diagnostiquer les problèmes persistants de Windows et pour la recherche de menaces, il doit normalement être installé manuellement sur chaque appareil, ce qui rend sa gestion et son déploiement plus difficiles dans les grands environnements informatiques. L'intégration native de Sysmon dans Windows réduit les points de frictions et permet de l'exécuter Sysmon avec des garanties plus fortes.
Mark Russinovich, technicien chez Microsoft et cofondateur de Winternals, d'où sont issus Sysinternals (et Sysmon), a déclaré : « il aide à détecter le vol d'identifiants, à mettre au jour les mouvements latéraux furtifs et à alimenter les enquêtes judiciaires. Ses données diagnostiques granulaires alimentent les pipelines de gestion des informations et des événements de sécurité (SIEM) et permettent aux défenseurs de repérer les attaques avancées ».
Envoyé par L'équipe du programme Windows Insider
Windows intègre désormais la fonctionnalité Sysmon en natif. La fonctionnalité Sysmon vous permet de capturer les événements système qui peuvent aider à détecter les menaces, et vous pouvez utiliser des fichiers de configuration personnalisés pour filtrer les événements que vous souhaitez surveiller. Les événements capturés sont consignés dans le journal des événements Windows, ce qui permet de les utiliser avec des applications de sécurité et dans un large éventail de cas d'utilisation.
- visibilité instantanée des menaces ;
- mêmes fonctionnalités riches, y compris la prise en charge des fichiers de configuration personnalisés ;
- pas de téléchargement séparé ni de déploiement manuel ;
- conformité automatisée grâce aux mises à jour via Windows Update ;
- réduction des risques opérationnels ;
- assistance au service client.
Voici comment la fonctionnalité Sysmon disponible dans Windows s'aligne sur les piliers de l'initiative Microsoft Secure Future Initiative (SFI) :
- contribue à réduire la complexité et à éliminer les lacunes causées par les déploiements manuels (sécurité dès la conception) ;
- contribue à rendre les données de diagnostic de sécurité avancées disponibles dès le départ (opérations sécurisées).
Comment activer Sysmon dans Windows 11 ?
Bien que Sysmon soit désormais pris en charge nativement dans Windows, il est désactivé par défaut et les utilisateurs doivent l'activer en suivant la procédure suivante (il est important de noter que vous devez désinstaller la version de Sysmon installée à partir du site Web avant d'activer la version intégrée) :
Accédez à Paramètres > Système > Fonctionnalités facultatives > Plus de fonctionnalités Windows > et cochez Sysmon. Ou dans PowerShell ou l'invite...
La fin de cet article est réservée aux abonnés. Soutenez le Club Developpez.com en prenant un abonnement pour que nous puissions continuer à vous proposer des publications.
