Sysmon : configurer une journalisation avancée pour repérer les activités suspectes sous Windows

Les journaux natifs de Windows disent qui s’est connecté et quel compte a été modifié, mais restent pauvres sur ce que font réellement les programmes : à quelle adresse ce processus s’est-il connecté ? Quel pilote vient d’être chargé ? Qui a lu la mémoire de LSASS, là où se trouvent les secrets d’authentification ? Sysmon (System Monitor) comble ce manque. Grande nouveauté de 2026 : il est désormais intégré à Windows 11 comme fonctionnalité facultative. Voici comment l’activer, le configurer sans se noyer et en tirer des détections utiles.

L’essentiel en 30 secondes

• Sysmon enregistre création de processus (avec empreinte et ligne de commande), connexions réseau, chargement de pilotes, accès à des processus sensibles, requêtes DNS, modifications du registre…
• Depuis la mise à jour cumulative de mars 2026, Windows 11 (24H2 et 25H2) inclut Sysmon, désactivé par défaut ; Microsoft a annoncé la même intégration pour Windows Server.
• Sans configuration filtrée, Sysmon produit trop d’événements : partez d’une configuration communautaire éprouvée.
• Sysmon ne bloque rien : il produit des preuves, qu’il faut centraliser et analyser.

Activer Sysmon

Version intégrée à Windows 11

Désinstallez d’abord toute version Sysinternals déjà présente, puis activez la fonctionnalité :

# Activer la fonctionnalité facultative
Dism /Online /Enable-Feature /FeatureName:Sysmon

# Installer le service avec un fichier de configuration
sysmon -i C:\Outils\sysmon-config.xml

Elle est aussi accessible dans Paramètres > Système > Fonctionnalités facultatives > Autres fonctionnalités Windows. L’intérêt majeur : elle est maintenue par Windows Update et se déploie plus simplement à grande échelle.

Version Sysinternals (serveurs et anciennes versions)

# Installation avec acceptation de la licence et configuration
sysmon64.exe -accepteula -i sysmon-config.xml

# Mettre à jour la configuration sans réinstaller
sysmon64.exe -c sysmon-config.xml

# Afficher le schéma de configuration supporté
sysmon64.exe -s

Les événements sont écrits dans le journal Microsoft-Windows-Sysmon/Operational.

Les événements les plus utiles

Configurer sans se noyer

Ne partez pas d’une page blanche. Deux configurations communautaires font référence :

• sysmon-config (SwiftOnSecurity) : un fichier unique et commenté, bon point de départ ;
• sysmon-modular (Olaf Hartong) : des modules associés aux techniques MITRE ATT&CK, à assembler selon vos besoins.

Le principe : on inclut les comportements intéressants et on exclut le bruit connu (agents de mise à jour, antivirus, outils de sauvegarde). Exemple minimal pour surveiller les accès à LSASS :

<Sysmon schemaversion="4.90">
  <HashAlgorithms>SHA256,IMPHASH</HashAlgorithms>
  <EventFiltering>
    <RuleGroup name="Acces LSASS" groupRelation="or">
      <ProcessAccess onmatch="include">
        <TargetImage condition="end with">\lsass.exe</TargetImage>
      </ProcessAccess>
    </RuleGroup>
  </EventFiltering>
</Sysmon>

Adaptez la valeur de schemaversion à celle qu’affiche sysmon -s. Testez chaque modification sur quelques machines pilotes pendant une semaine, mesurez le volume, puis généralisez.

Exploiter les événements

Sysmon ne vaut que si ses événements quittent la machine. Transférez-les vers un collecteur (Windows Event Forwarding) ou un SIEM comme Wazuh, qui intègre des règles dédiées. Pour écrire vos propres détections, le format Sigma propose des centaines de règles prêtes à l’emploi basées sur les événements Sysmon.

# Derniers accès à LSASS enregistrés localement
Get-WinEvent -FilterHashtable @{LogName='Microsoft-Windows-Sysmon/Operational'; Id=10} -MaxEvents 20 |
  Select-Object TimeCreated, Message

Sysmon complète les journaux Windows natifs ; il ne les remplace pas, et ne remplace pas non plus un EDR capable de bloquer et d’isoler.

Questions fréquentes

Sysmon ralentit-il les machines ?

Avec une configuration filtrée, l’impact est faible. Les problèmes viennent presque toujours d’une configuration qui journalise tout, notamment les événements 7 (chargement de DLL) et 11 sans filtre.

Faut-il Sysmon si j’ai déjà un EDR ?

Ce n’est pas indispensable, mais Sysmon garde une trace indépendante de l’éditeur, utile en investigation et si l’EDR est désactivé par un attaquant.

La version intégrée remplace-t-elle celle de Sysinternals ?

Sur Windows 11 à jour, oui, et elle simplifie la maintenance. Sur les serveurs et les versions antérieures, la version Sysinternals reste la référence en attendant l’intégration annoncée.

Comment déployer Sysmon sur tout un parc ?

Par GPO ou par votre outil de gestion (Intune, script de démarrage), avec un fichier de configuration stocké sur un partage en lecture seule et versionné.

Sources

• BleepingComputer, mises à jour cumulatives Windows 11 de mars 2026 et Sysmon intégré, 10 mars 2026.
• Microsoft Learn, Sysmon (Sysinternals).
• SwiftOnSecurity, sysmon-config.
• Olaf Hartong, sysmon-modular.

Besoin d’un accompagnement ?

MPCÂBLE Solutions Informatiques (MPCSI) accompagne particuliers, entreprises, associations et collectivités depuis Gaudiès, en Ariège : sur site en Occitanie, principalement dans un rayon de 40 km (Pamiers, Foix, Mirepoix, Saverdun, Castelnaudary), et à distance partout en France. Nous déployons et exploitons Sysmon dans le cadre de notre infogérance. Demandez un devis gratuit ou appelez le 05 32 42 99 98.