Windows 11の不審な動作や通信を調べるには？標準機能「Sysmon」の使い方

Windows 11では、プロセスの起動やネットワーク接続など、PC上の活動を詳細に記録する「Sysmon（System Monitor）」が標準機能として利用できるようになった。Sysmonはマルウェア感染や不正アクセスが疑われる場合の調査にも活用できるが、初期状態では無効になっている。

Sysmonはサイバー攻撃の調査にどう役立つのか

Microsoftによると、Sysmonはプロセスの起動時に実行されたコマンドや親プロセスの情報、ネットワーク接続先のIPアドレスやポート番号、DNSへの問い合わせなどを記録できる。こうした情報を組み合わせることで、不審なプログラムがいつ起動し、どのような通信を行ったのかを調べられる。

企業などでは、SysmonのログをSIEM（セキュリティ情報イベント管理）などの分析基盤に集約し、複数のイベントを関連付けることで、サイバー攻撃の兆候の発見やインシデント発生時の原因調査に役立てることができる。

Windows 11でSysmonを有効にする方法

Neowinは、「How to enable the built-in Sysmon activity monitor in Windows 11 - Neowin」において、Windows 11に組み込まれたSysmonを有効化する手順を紹介した。

SysmonはもともとWindowsに含まれておらず、MicrosoftのSysinternalsから個別に導入するソフトウェアだった(参考情報：「Sysmon - Sysinternals | Microsoft Learn」)。

Microsoftは2月24日に公開したプレビュー更新プログラム「KB5077241」で、Sysmonの組み込み機能を提供し、段階的な展開を開始した。

Sysmonの利用には1つ注意点がある。組み込み版とSysinternals版を同時に利用することができない。組み込み版を利用したい場合は、Sysinternals版を先にアンインストールしておく必要がある。Sysinternals版の確認を含めた組み込み版のインストール手順は次のとおり。

スタートボタンを右クリック→「ターミナル(管理者)」をクリックして管理者権限のPowerShellを起動する。コマンドプロンプトを起動した場合は、タイトルバーの「∨」をクリック→「Ctrl」キーを押したまま「PowerShell」をクリックする
コマンド「Get-Service sysmon*」を実行する
サービスが表示された場合は、既存のSysmonが導入されている可能性があるため、導入状況を確認する。Sysinternals版がインストールされている場合は、組み込み版を有効にする前にアンインストールする
コマンド「Enable-WindowsOptionalFeature -Online -FeatureName Sysmon」を実行して、組み込み版を有効にする
最後にコマンド「sysmon -i」を実行して、デフォルト設定で構成を完了する

従来のSysinternals版との違い

組み込み版とSysinternals版には明確な違いがある。組み込み版はネイティブWindows機能として動作するように設計されており、イベントがローカライズされる。つまり、Windowsの設定言語で記録および表示が行われる。

ただし、XML形式のイベントデータ自体はローカライズされず、従来の形式が維持される。Microsoftは「XML形式ではないSysmonイベント」を収集する組織に対し、ローカライズによる影響を考慮するように推奨している。

Sysmonで記録したイベントを確認する方法

Sysmonの記録はWindowsツールの「イベントビューアー」で確認できる。イベントビューアーを開き、「アプリケーションとサービスログ」→「Microsoft」→「Windows」→「Sysmon」→「Operational」の順に移動すると、プロセス作成、ネットワーク接続、ファイル操作などのイベントを確認できる。

以下はSysmonの主なイベントIDとセキュリティ調査での活用例だ。

Sysmonの主なイベントIDとセキュリティ調査での活用例
イベントID	記録される情報	セキュリティ調査での活用例
1	プロセスの起動	不審なプログラムやコマンドの実行履歴を調査
3	ネットワーク接続	不審なIPアドレスへの通信を調査
22	DNS問い合わせ	不審なドメインへのアクセスの兆候を調査