Comment utiliser Sysmon sous Windows 11 : activer, installer et désinstaller

Sysmon (Moniteur système) fait partie de ces outils qui, malgré leur nom sophistiqué, permettent de comprendre en profondeur ce qui se passe sous Windows 11. Il enregistre des informations détaillées telles que la création de processus, l’activité réseau, les modifications de fichiers et les chargements de pilotes – des données que la plupart des outils par défaut ne prennent pas en compte. Si vous devez dépanner un système ou identifier une activité anormale sans avoir besoin d’une configuration d’entreprise complexe, Sysmon peut s’avérer indispensable. Cependant, son utilisation n’est pas immédiate : il faut l’installer, le configurer et savoir où chercher. Parfois, on a l’impression que Windows complique volontairement l’accès à ces informations, notamment en raison de la manière dont les journaux sont stockés et de la nécessité de configurations personnalisées. Un peu de patience (et une bonne connaissance de la ligne de commande) sont donc essentielles.

Comment activer, installer et utiliser Sysmon sous Windows 11 ?

Téléchargez Sysmon depuis la source officielle

Tout d’abord, rendez-vous sur la page Microsoft Sysinternals. Assurez-vous de télécharger le fichier directement depuis cette page (et non depuis des sites tiers douteux), car Windows a tendance à y inclure des logiciels malveillants ou des versions obsolètes si vous n’êtes pas vigilant. Le fichier ZIP porte généralement un nom comme Sysmon.zip. Une fois téléchargé, extrayez-le dans un dossier facile à retrouver, par exemple dans le dossier Téléchargements.À l’intérieur, vous trouverez Sysmon64.exe pour Windows 64 bits (probablement votre système) ou Sysmon.exe pour 32 bits. C’est ce fichier exécutable que vous lancerez depuis l’invite de commandes.

Ouvrir l’invite de commandes en tant qu’administrateur

Sysmon ne s’installera pas correctement sans droits d’administrateur — évidemment, Windows complique les choses. Cliquez sur le bouton Démarrer, tapez cmd, puis faites un clic droit sur Invite de commandes et choisissez Exécuter en tant qu’administrateur. Acceptez l’invite du Contrôle de compte d’utilisateur (UAC).Il vous faut maintenant indiquer au terminal l’emplacement où vous avez extrait Sysmon.

Utilisez la cdcommande pour changer de répertoire, par exemple :cd C:\Users\\Downloads

Installer Sysmon avec les paramètres par défaut

Si vous souhaitez simplement voir les informations de base et ne vous souciez pas du filtrage, exécutez ceci :

Sysmon64.exe -i

Cette opération installera Sysmon avec la configuration par défaut et démarrera immédiatement l’enregistrement des journaux. Lors de la première utilisation, il est possible qu’un contrat de licence s’affiche ; il suffit de l’accepter. Sur certaines configurations, l’installation peut échouer brièvement ou ne pas afficher beaucoup de données au départ, mais après un redémarrage ou quelques minutes, les journaux devraient commencer à apparaître dans l’Observateur d’événements.

Configurez Sysmon avec une configuration personnalisée.

Honnêtement, les journaux par défaut peuvent vite devenir saturés, surtout pour une surveillance poussée. C’est là qu’un fichier de configuration XML s’avère utile. De nombreux experts en sécurité partagent des fichiers préparés par la communauté, qui offrent un bon équilibre entre informations pertinentes et informations superflues. Vous pouvez en télécharger un depuis un dépôt comme GitHub, ou créer le vôtre si vous maîtrisez le XML. Enregistrez-le dans le même dossier que votre exécutable Sysmon.

Sysmon64.exe -i sysmonconfig.xml

Remplacez sysmonconfig.xml par le nom de votre fichier. L’exécution de cette commande installera Sysmon avec vos règles personnalisées, ce qui vous permettra d’obtenir une journalisation plus précise et de réduire l’encombrement.

Vérifiez que Sysmon fonctionne.

Une fois installé, vérifiez que les journaux sont bien générés. Appuyez sur la touche Windows + R Win + R, saisissez eventvwr.msc et appuyez sur Entrée. Accédez ensuite à Journaux des applications et des services > Microsoft > Windows > Sysmon > Opérationnel. Si vous voyez des entrées d’événements comme l’ID 1 (pour la création de processus) ou l’ID 3 (pour les connexions réseau), tout est en ordre. Double-cliquez sur un événement pour l’examiner en détail : vous y trouverez de nombreuses informations telles que les arguments de ligne de commande, le chemin d’accès à l’image, l’utilisateur, etc.

Mettez à jour la configuration si nécessaire.

Si vous décidez de modifier ultérieurement les informations enregistrées, il vous suffit d’exécuter :

Sysmon64.exe -c sysmonconfig.xml

Cette commande met à jour le service en cours d’exécution sans le réinstaller. Pensez à toujours sauvegarder vos configurations ; ce qui fonctionne bien aujourd’hui pourrait nécessiter des ajustements demain.

Vérifiez si le service Sysmon est actif.

Pour vérifier qu’il est toujours en cours d’exécution, ouvrez services.msc (via Win + R) et recherchez Sysmon. Il devrait indiquer « En cours d’exécution ».Vous pouvez aussi simplement taper :

sc query sysmon

Dans l’invite de commandes, si vous voyez « ÉTAT : EN COURS D’EXÉCUTION », le processus est actif. Sinon, vérifiez votre installation ou les journaux pour détecter d’éventuelles erreurs.

Utilisation des journaux pour l’analyse

Maintenant que Sysmon est opérationnel, vous pouvez analyser les journaux dans l’Observateur d’événements. Filtrez par ID d’événement : 1 pour les créations de processus (lignes de commande suspectes ?), 3 pour les connexions sortantes (adresses IP inhabituelles ?), ou recherchez les fichiers en constante évolution. Pour une automatisation plus poussée, vous pouvez intégrer les journaux à des outils SIEM ou à des scripts. En réalité, l’exploitation optimale de ces journaux réside souvent dans leur corrélation avec d’autres sources de données.

Désinstallation de Sysmon

Parfois, son utilisation n’est plus nécessaire, voire elle engendre plus de problèmes qu’elle n’en résout. Pour supprimer Sysmon :

Ouvrir l’invite de commandes en tant qu’administrateur

Cliquez avec le bouton droit sur Démarrer, puis choisissez Invite de commandes (Admin).

Accédez au dossier

Utilisez cette fonction cdpour accéder à l’emplacement de stockage de Sysmon.

Exécutez la commande de désinstallation

Sysmon64.exe -u

C’est fait. Le service sera arrêté et supprimé, ainsi que les journaux. Vérifiez avec services.msc : Sysmon ne devrait plus apparaître.

Foire aux questions

À quoi sert Sysmon sous Windows 11 ?

L’objectif est d’obtenir une visibilité complète : suivi des processus, de l’activité réseau et du chargement des pilotes. C’est particulièrement utile pour détecter les logiciels malveillants sournois ou résoudre les problèmes liés à un comportement anormal du système.

Sysmon est-il sûr à utiliser ?

Oui. C’est un logiciel Microsoft, bien maintenu et utilisé dans la sécurité des entreprises ; rien de louche là-dedans. L’essentiel est de faire attention aux configurations, surtout si vous les personnalisez, afin d’éviter de saturer les journaux ou de manquer des événements critiques.

Sysmon ralentit-il Windows 11 ?

Honnêtement, il est plutôt léger, mais des fichiers de configuration trop verbeux peuvent générer des journaux volumineux, ce qui peut avoir un léger impact sur les performances – même si la plupart des utilisateurs ne le remarqueront pas. L’essentiel est de trouver le bon équilibre dans votre configuration.

Où sont stockés les journaux Sysmon ?

Dans l’Observateur d’événements, sous Journaux des applications et des services > Microsoft > Windows > Sysmon > Opérationnel.

Est-il possible de réinstaller Sysmon après sa désinstallation ?

Absolument. Il suffit de relancer la commande d’installation, avec ou sans configuration personnalisée. C’est aussi simple que ça.

Ai-je besoin de compétences particulières pour personnaliser les configurations ?

Si vous vous contentez d’installer le logiciel et d’utiliser la configuration par défaut, non. En revanche, la création de configurations XML personnalisées nécessite de comprendre la structure XML de base et de savoir quels événements inclure ou exclure. Ce n’est pas impossible, mais cela demande un peu de lecture.

J’espère que cela simplifiera la tâche à ceux qui ne souhaitent pas approfondir le sujet, mais qui ont tout de même besoin d’un outil supplémentaire pour surveiller l’activité de leur système Windows. N’oubliez pas : une petite configuration maintenant vous évitera bien des tracas plus tard. Bonne chance !

Résumé

Téléchargez Sysmon depuis le site officiel de Microsoft.
Exécutez l’invite de commandes en tant qu’administrateur et installez-la avec Sysmon64.exe -iou avec une configuration personnalisée
Consultez les journaux dans l’Observateur d’événements sous Sysmon Opérationnel
Mettre à jour les configurations à l’aide deSysmon64.exe -c
Désinstaller avecSysmon64.exe -u

Conclure

Configurer Sysmon n’est pas toujours chose aisée, surtout si Windows vous complique la tâche, mais une fois opérationnel, c’est un outil très fiable pour explorer les entrailles du système. Que ce soit pour la sécurité, le dépannage ou simplement par curiosité, c’est un outil qui mérite d’être appris. J’espère que cela permettra à certains d’éviter bien des frustrations.