Microsoft: Sysmon יהפוך לחלק מובנה מ-Windows 11 ומ-Windows Server 2025
ב-18 בנובמבר 2025 הודיעה Microsoft בכנס Ignite שהכלי Sysmon מחבילת Sysinternals יגיע מובנה ל-Windows 11 ול-Windows Server 2025, עם עדכונים דרך Windows Update.
TL;DR בקצרה
- Microsoft הודיעה ב-18 בנובמבר 2025 ש-Sysmon יהיה מובנה ב-Windows 11 וב-Windows Server 2025, במהלך 2026.
- הפונקציונליות תתמוך בקובצי תצורה מותאמים, תכתוב אירועים ליומן של Windows ותתעדכן דרך Windows Update.
- ההפעלה תהיה דרך Turn Windows features on or off והפקודה sysmon -i. תיעוד מלא יגיע עם הזמינות הרחבה.
- ב-3 בפברואר 2026 הגיע Sysmon המובנה לגרסת Insider, וב-10 במרץ 2026 לעדכון היציב KB5079473.
ב-18 בנובמבר 2025, בכנס Ignite, הודיעה Microsoft ש-Sysmon יהפוך לחלק מ-Windows 11 ומ-Windows Server 2025. המעבר צפוי במהלך 2026. הכלי החינמי הזה, מחבילת Sysinternals, מתעד פעילות חשודה במחשב. עד ההודעה, ארגונים היו צריכים להוריד אותו ולעדכן אותו בכל מחשב בנפרד. פירוט ההודעה מופיע בבלוג Windows IT Pro.
מה Microsoft הודיעה על Sysmon ב-Windows
לפי הבלוג, עדכוני Windows 11 ו-Windows Server 2025 יביאו את הפונקציונליות של Sysmon באופן מובנה. Microsoft לא נתנה תאריך מדויק. היא כתבה שהיכולת תגיע לזמינות רחבה בעדכונים של 2026.
הפונקציונליות תפעל כמו הכלי הקיים. היא תתמוך בקובצי תצורה מותאמים, שמסננים אילו אירועים נרשמים. היא תכתוב את האירועים ליומן האירועים של Windows, ושם כלים כמו SIEM יוכלו לקרוא אותם.
להפעלה Microsoft מתארת שני צעדים. תפעילו את היכולת דרך Turn Windows features on or off. אחר כך תריצו בחלון הפקודה את sysmon -i. הפקודה מתקינה את הדרייבר ומפעילה את השירות עם תצורת ברירת מחדל. תיעוד מלא יגיע עם הזמינות הרחבה.
מה Sysmon מתעד, ולמה זה חשוב
Microsoft מציינת שהכלי מסייע לזהות גניבת הרשאות, תנועה רוחבית בתוך הרשת ובדיקות פורנזיות. הנתונים שלו מזינים מערכות SIEM. בפוסט היא נותנת דוגמאות לאירועים שאפשר לעקוב אחריהם:
- Event ID 1, יצירת תהליך: חושף פקודות חשודות, כמו powershell -nop -w hidden.
- Event ID 3, חיבור רשת: חושף חיבורים יוצאים לא צפויים, שעשויים להעיד על שרת שליטה.
- Event ID 8, גישה לתהליך: חושף ניסיונות לגרוף סיסמאות, למשל גישה לזיכרון של LSASS.
- Event ID 11, יצירת קבצים: חושף סקריפטים חשודים בתיקיות זמניות.
- Event ID 25, שינוי תהליך: מזהה טכניקות הסתרה כמו process hollowing ו-herpaderping.
היתרון המרכזי תפעולי. אין הורדה בנפרד ואין פריסה ידנית, והעדכונים מגיעים דרך Windows Update. Microsoft מוסיפה שתהיה תמיכת לקוחות רשמית, שחסרה בסביבות ייצור.
היא גם מתכננת להמשיך להשקיע בניהול בקנה מידה ארגוני ובהסקה מבוססת AI שרצה מקומית. אלה תוכניות, ולא יכולות קיימות.
מה לא ישתנה אחרי המעבר
Sysmon רושם אירועים. הוא לא מחליט אם הם זדוניים. בלי תצורה טובה ואיסוף מרכזי של יומנים, הנתונים נשארים על המחשב. איש לא קורא אותם.
Microsoft מפנה לשתי תבניות תצורה שהקהילה בנתה. הראשונה היא sysmon-config של SwiftOnSecurity. השנייה היא sysmon-modular של olafhartong. ההודעה מזכירה רק את Windows 11 ואת Windows Server 2025, ולגבי גרסאות אחרות היא לא מבטיחה כלום.
מה זה אומר עבורכם
- אל תבטלו כלום: אם אתם כבר מריצים את הכלי, המשיכו. תכננו מעבר מסודר כשהיכולת המובנית תגיע לגרסה שלכם.
- בחרו תצורה: התחילו מאחת התבניות ש-Microsoft מפנה אליהן. בדקו אותה על קבוצת פיילוט קטנה.
- תכננו איסוף יומנים: הגדירו לאן האירועים זורמים, ומי קורא אותם. בלי זה הכלי רק ממלא דיסק.
- בדקו את נפח האירועים: לפני פריסה רחבה, מדדו כמה אירועים כל מחשב מייצר ובנו מסננים.
- אל תניחו כיסוי מלא: גרסאות Windows אחרות לא נכללו בהודעה. להן המשיכו להשתמש בכלי העצמאי.
מה קרה מאז
ב-3 בפברואר 2026 הוסיפה Microsoft את Sysmon לגרסת Insider, Beta build 26220.7752. הוא כבוי כברירת מחדל. מפעילים אותו ב-Optional features או בפקודת DISM, ואחר כך מריצים sysmon -i. מי שהתקין את הכלי מהאתר צריך להסיר אותו לפני כן. ב-10 במרץ 2026 הגיע הכלי המובנה לעדכון היציב KB5079473, לפי BleepingComputer.
מקורות והרחבה
- Native Sysmon functionality coming to WindowsWindows IT Pro Blog
- Announcing Windows 11 Insider Preview Build 26220.7752 (Beta Channel)Windows Insider Blog
- Windows 11 KB5079473 and KB5078883 cumulative updates releasedBleepingComputer
הכתבה נכתבה במקור בעברית על ידי מערכת GEEKLIK, על בסיס המקורות שלמעלה ובדיקת העובדות מולם.
מצאתם טעות? דווחו לנו
