Windows 11 Yerleşik Sysmon: Kurulum, Yapılandırma ve SOC İçin İlk Adımlar 10-16-2026, 08:18 AM (Son Düzenleme: 10-16-2026, 05:03 PM, Düzenleyen: BilgeKagan.)
Selamlar,
Yıllardır Sysinternals Sysmon'u ayrı bir exe ile kuruyorduk. 2026'da Microsoft, Windows 11 ve Windows Server 2025'te Sysmon'u isteğe bağlı yerleşik özellik olarak sundu. Lab makinemde denedim; bu konuda kurulum notlarımı ve SOC açısından ne işe yaradığını paylaşıyorum.
Konuda Anlatılacaklar
- Yerleşik Sysmon nedir, ne değildir?
- Standalone ile birlikte çalışmaz
- Etkinleştirme (PowerShell / DISM)
- Yapılandırma dosyası (SwiftOnSecurity vb.)
- Olayları nerede görürsünüz, SIEM'e nasıl gider?
1) Ne Yapar, Ne Yapmaz?
Microsoft Learn'e göre yerleşik Sysmon süreç oluşturma, ağ bağlantısı, sürücü/DLL yükleme, ham disk erişimi gibi olayları Windows Event Log'a yazar. Analiz etmez, engellemez, varlığını gizlemez. Yani bir EDR değil; yüksek kaliteli telemetri kaynağıdır. SIEM veya Defender for Endpoint gibi ürünlerle birlikte anlam kazanır.
2) Standalone ile Bir Arada Olmaz
Cihazda eski Sysinternals Sysmon kuruluysa önce kaldırın. İkisi aynı anda desteklenmiyor. Kontrol:
Kod:
Get-Service sysmon*Çıktı boş olmalı. Varsa standalone'u kaldırıp devam edin.
3) Etkinleştirme
Yönetici PowerShell:
Kod:
Enable-WindowsOptionalFeature -Online -FeatureName Sysmon
sysmon -iDISM alternatifi:
Kod:
Dism /Online /Enable-Feature /FeatureName:SysmonKod:
sysmon -iVarsayılan kurulum az olay üretir; mutlaka bir config uygulayın.
4) Yapılandırma
Popüler topluluk config'leri:
- SwiftOnSecurity/sysmon-config
- olafhartong/sysmon-modular (MITRE eşlemeli, modüler)
Kod:
# Örnek: config ile kurulum
sysmon -i C:\Sysmon\sysmonconfig.xml
# Sonradan güncelleme (restart gerekmez)
sysmon -c C:\Sysmon\sysmonconfig.xmlLab'da önce dar bir config ile başlayıp Event Viewer'da gürültüyü izleyin; production'a körlemesine "her şeyi aç" demeyin, disk ve lisans maliyetiniz şişer.
5) Olaylar Nerede?
Event Viewer: Applications and Services Logs > Microsoft > Windows > Sysmon > Operational.
Yerleşik Sysmon'da görüntülenen mesaj metinleri yerelleştirilmiş olabilir; toplama için XML/alan bazlı parsing kullanın (Microsoft bunu özellikle belirtiyor). WEF veya SIEM agent ile merkezileştirin.
Kaynaklar
- Microsoft Learn: Sysmon Overview
- Enable and configure Sysmon
- SwiftOnSecurity/sysmon-config
- sysmon-modular
Alıntı:Yasal not: Yalnızca yönettiğiniz lab veya kurumsal endpoint'lerde etkinleştirin.
Kapak: özgün TurkTeam görseli.