- Sysmon es una herramienta de telemetría avanzada que registra actividades críticas del sistema directamente en el Visor de Eventos de Windows.
- Permite monitorizar la creación de procesos, conexiones de red y modificaciones en el registro para detectar amenazas y analizar incidentes.
- Se puede implementar tanto de forma independiente como mediante la funcionalidad nativa integrada en las versiones más recientes de Windows.
Si te dedicas a la seguridad o administras redes, sabrás que el registro de eventos estándar de Windows a veces se queda corto. Es como intentar montar un puzle al que le faltan la mitad de las piezas; sabes que algo ha pasado, pero no tienes el detalle exacto. Aquí es donde entra Sysmon (System Monitor), una joya de la suite Sysinternals que actúa como un vigilante incansable, anotando cada movimiento sospechoso en el sistema para que no se te escape ni una sola traza de actividad maliciosa.
Lo más interesante es que Microsoft ha dado un paso adelante integrando esta herramienta de forma nativa en algunas versiones de Windows 11 y Windows Server 2025. Ya no hace falta pelearse siempre con instalaciones manuales en cada máquina, aunque la opción independiente sigue siendo totalmente válida. Básicamente, Sysmon no bloquea ataques por sí mismo, sino que proporciona una telemetría detallada que, al ser enviada a un SIEM o analizada a fondo, te permite saber exactamente quién lanzó aquel comando de PowerShell ofuscado o qué proceso abrió una conexión rara a una IP extranjera.
¿Qué es exactamente Sysmon y qué puede hacer por ti?
Para que nos entendamos, Sysmon es un servicio del sistema y un controlador de dispositivo que se queda residente incluso tras reiniciar el equipo. Su misión es registrar eventos de alta fidelidad. A diferencia de otras herramientas, no genera alertas ni bloquea procesos; su trabajo es ser el cronista perfecto de lo que ocurre en el núcleo del sistema.
Entre sus capacidades más potentes destacan el registro de la línea de comandos completa de los procesos, lo que es oro puro para detectar malware que usa comandos codificados en Base64. Además, genera un GUID único para cada proceso, evitando que te líes cuando Windows reutiliza los IDs de proceso (PID). También puede vigilar la carga de DLLs, el acceso bruto a discos y, muy importante, detectar cambios en la fecha de creación de archivos, una técnica típica de los atacantes para intentar camuflar sus huellas (timestomping).
Instalación y puesta en marcha
Dependiendo de tu versión de Windows, tienes dos caminos. El primero es el Sysmon integrado, que viene desactivado por defecto. Para activarlo, puedes usar PowerShell como administrador con el comando Enable-WindowsOptionalFeature -Online -FeatureName Sysmon. Una vez habilitada la característica, se instala con sysmon -i.
Si optas por la versión independiente (descargable desde Sysinternals), los comandos son muy directos. Para instalarlo aceptando la licencia automáticamente, usa sysmon -accepteula -i. Si ya lo tienes instalado y quieres actualizar la configuración sin reiniciar, el comando clave es sysmon -c [archivo_config.xml]. Para borrarlo todo y dejar el sistema limpio, simplemente ejecuta sysmon -u.
El corazón de la herramienta: La configuración XML
Instalar Sysmon sin un archivo de configuración es como comprarse un coche y no ponerle el volante; vas a generar una cantidad de ruido brutal en los logs que te volverá loco. La configuración se define en un archivo XML donde decides qué eventos quieres incluir y cuáles excluir mediante reglas de filtrado dinámicas.
Existen configuraciones mantenidas por la comunidad que son canela en rama, como las de SwiftOnSecurity o Olaf Hartong, que ya vienen optimizadas para reducir el ruido y centrarse en lo que realmente importa según el marco de MITRE ATT&CK. En el archivo XML puedes definir, por ejemplo, que ignore el tráfico de iexplore.exe en el puerto 80 pero que registre cualquier otra conexión sospechosa.
Diccionario de Eventos (IDs clave)
Para no perderte en el Visor de Eventos, es fundamental conocer qué significa cada ID. Aquí tienes los más relevantes:
- ID 1: Creación de procesos. Te dice qué se ejecutó y con qué argumentos.
- ID 3: Conexiones de red. Registra IPs y puertos de origen y destino.
- ID 7: Carga de imágenes. Muy útil para ver qué DLLs se cargan en un proceso.
- ID 11: Creación de archivos. Ideal para vigilar carpetas temporales o de inicio automático.
- ID 13: Modificación de valores del registro. Clave para detectar persistencia de malware.
- ID 22: Consultas DNS. Te revela a qué dominios intenta conectar el software instalado.
Implementación avanzada en entornos de Dominio
Cuando tienes un parque de máquinas considerable, no puedes ir una a una. Lo ideal es montar un recolector de eventos centralizado en un Windows Server. Para ello, se utiliza el servicio de Recopilación de Eventos de Windows (WEC) ejecutando wecutil.exe qc /q y configurando el puerto 5985 para WinRM.
Para que los clientes envíen sus logs al servidor, se crea una Directiva de Grupo (GPO). En la ruta de Plantillas Administrativas, se habilita el reenvío de eventos apuntando a la URL del servidor recolector. Además, es vital configurar la auditoría avanzada mediante GPO para que el sistema registre correctamente los inicios de sesión y la administración de cuentas, complementando así la telemetría de Sysmon.
Validación y casos prácticos de detección
Una vez montado todo, no te fíes; comprueba que los datos fluyen. Puedes usar Test-NetConnection para verificar la conectividad con el recolector o revisar la ruta Microsoft-Windows-Sysmon/Operational en el Visor de Eventos. Para probarlo, intenta ejecutar un comando de PowerShell codificado o crea un archivo en la carpeta de inicio; si todo va bien, verás el evento reflejado casi al instante en el servidor central.
Otro caso muy común es detectar el uso de regedit.exe o la creación de nuevos usuarios en el dominio (ID 4720). Esta visibilidad es la que marca la diferencia entre descubrir una intrusión en cinco minutos o darte cuenta meses después de que el atacante ya ha tenido control total de tu infraestructura.
La implementación de Sysmon transforma la capacidad de respuesta de un equipo de IT, pasando de una monitorización pasiva de disponibilidad a una vigilancia activa de seguridad. Al centralizar estos registros en un servidor o SIEM y aplicar filtros inteligentes, es posible distinguir el ruido cotidiano de las señales reales de ataque, garantizando que cualquier movimiento lateral o intento de persistencia quede registrado y sea auditable en tiempo real.