Windows 11にSysmonがネイティブ統合——エンタープライズのセキュリティ運用が変わる

Microsoftは、セキュリティ監視ツール「Sysmon（System Monitor）」をWindows 11のOS標準機能として提供開始した。現在はWindows Insider ProgramのBetaチャンネルおよびDevチャンネル参加者向けに展開中で、将来的に正式リリースへ段階的に拡大される見込みだ。

Sysmonとは

SysmonはもともとMicrosoftのSysinternalsスイートに含まれる無償ツールで、Windowsのシステムサービスとデバイスドライバーとして動作する。プロセスの作成・終了といった基本的なイベントの監視に加え、実行ファイルの作成、プロセス改ざん、クリップボードの変更、削除ファイルの自動バックアップなど、より高度なふるまいも検知可能だ。収集したログはWindowsイベントログに記録されるため、SIEM（セキュリティ情報イベント管理）製品や各種セキュリティソリューションとの連携も容易で、SOC（セキュリティオペレーションセンター）チームにとっては脅威ハンティングの定番ツールとして広く活用されてきた。

これまでの課題

これまでSysmonは、Sysinternalsのウェブサイトから個別にダウンロードし、管理対象の各デバイスに手動でインストールする必要があった。大規模なIT環境では、この展開・管理コストが現場担当者の負担になっていた。

OS統合による変化

今回のOS統合により、Sysmonは「設定 → システム → オプション機能 → Windowsのその他の機能」からチェックを入れるだけで有効化できるようになった。PowerShellやコマンドプロンプトからは以下のコマンドでもインストール可能だ。

元記事: Microsoft rolls out native Windows 11 Sysmon security monitoring