添加 Sysmon 应用程序

Sysmon（系统监视器）安装在系统上后，会审计系统的各项活动，包括注册表活动、文件活动、进程活动、网络驱动程序活动等。

已安装Sysmon的设备可作为Sysmon 应用程序添加， 将事件分类至不同报表中。

将设备添加为Sysmon应用程序的操作步骤如下：

• 导航至设置 > 日志源配置 > 应用程序。 您也可点击主页右上角的+添加按钮， 然后选择应用程序。
• 点击通用应用程序 -> 添加通用应用程序。
• 选择"Sysmon应用程序"作为应用程序类型

  

• 点击“+”图标展开列表以添加新设备。
• 从下拉菜单中选择要添加的设备类型：已配置设备、工作组设备、域设备等。
• 要手动添加新设备，请点击“手动配置”并输入 日志源。
• 若设备类型为syslog，请勾选"添加为Syslog设备"选项框。若 设备类型为Windows，请依次输入用户名 > 密码 > 验证 凭据。
• 点击“选择并添加”以添加日志源。

在搜索框中

导航至搜索界面。点击下拉框并向下滚动可搜索Syslog应用程序日志，您将看到Sysmon应用程序的特定日志类型分类。

为从Sysmon应用程序日志获取更深入信息，可从日志中提取或创建自定义/新字段。点击此处了解更多。

日志记录的事件日志配置

请注意：当设备被添加为Sysmon应用程序时，这些配置将自动添加（前提是凭据具备访问注册表并添加键值的权限）。若未自动配置，则需手动添加并启用该键值才能实现日志记录。

注册表键值添加步骤

通过命令行窗口打开打印服务器机器的注册表编辑器'regedit'。
导航至：计算机\HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\services\eventlog\
右键单击eventlog，选择新建 > 键值。可将该键命名为Microsoft-Windows-Sysmon/Operational。