Sysmon
ATENCIÓN:
La recopilación de registros de Sysmon está disponible exclusivamente con la licencia Tracking.
BusinessLog admite la recopilación de eventos generados por Sysmon (System Monitor), una herramienta desarrollada por Microsoft Sysinternals que amplía las capacidades de registro de eventos de Windows.
A diferencia de los registros tradicionales del sistema, Sysmon registra información mucho más detallada sobre la actividad del sistema operativo, lo que permite supervisar eventos como la creación y finalización de procesos, la carga de controladores, los eventos WMI, el acceso directo al disco y muchas otras operaciones útiles para tareas de auditoría y seguridad.
La integración con BusinessLog permite recopilar automáticamente estos eventos y ponerlos a disposición para su consulta y análisis directamente desde la aplicación.
Una vez instalado y configurado Sysmon, los eventos se recopilan automáticamente por BusinessLog y pueden consultarse en el nuevo archivo Lista de registros de Sysmon, disponible en la sección Archivos de registros.
La cuadrícula permite visualizar los eventos registrados, aplicar filtros y buscar rápidamente la información de interés.
BusinessLog configura automáticamente Sysmon para registrar los principales eventos del sistema, entre ellos:
-
ID 1 – Creación de procesos
-
ID 5 – Finalización de procesos
-
ID 6 – Carga de controladores
-
ID 8 – Creación de hilos remotos
-
ID 9 – Acceso directo al disco
-
ID 19, 20 y 21 – Eventos WMI
-
ID 25 – Manipulación de procesos (Process Tampering)
-
ID 29 – Detección de nuevos archivos ejecutables
Instalación y configuración
Para utilizar esta funcionalidad, es necesario instalar Sysmon en los equipos que se van a supervisar.
Hay disponibles dos modalidades de instalación.
Instalación manual
La instalación se realiza localmente en el equipo que se va a supervisar mediante PowerShell ejecutado con privilegios de administrador.
Esta modalidad también puede utilizarse en los clientes RT.
Distribución remota
BusinessLog permite distribuir automáticamente la instalación y la configuración de Sysmon en los equipos remotos mediante PowerShell y WinRM.
Esta modalidad está indicada para la configuración centralizada de los equipos de la red empresarial.
NOTA: Sysmon también es compatible con los clientes RT.
Sin embargo, en estos clientes no es posible propagar de forma remota el comando de PowerShell mediante WinRM.
Por lo tanto, la instalación y la configuración de Sysmon deben realizarse localmente, siguiendo el procedimiento manual.
Base de datos
Los eventos recopilados se almacenan en la nueva base de datos dbSysmon.vdb6, ubicada en la carpeta de bases de datos de BusinessLog.
BlogTools se ha actualizado para permitir la gestión de la nueva base de datos con las mismas funcionalidades disponibles para los demás archivos.
ATENCIÓN:
El registro de eventos de Sysmon puede generar un volumen muy elevado de datos.
Como referencia, una estación de trabajo estándar genera aproximadamente 50.000–60.000 eventos al día, mientras que un servidor puede generar al menos diez veces más.
Por ello, se recomienda habilitar esta funcionalidad únicamente cuando sea realmente necesario y en sistemas con la capacidad adecuada.