Sysmon zit nu ingebouwd in Windows 11

Wie wil zien welke processen er op een Windows-apparaat starten, welke netwerkverbindingen ze maken en welke drivers er worden geladen, kon daarvoor Sysmon van Sysinternals gebruiken. Dat is een losse download, waarvan je de bestanden zelf uitrolt en bijwerkt.

Sinds februari 2026 zit Sysmon als optionele functie in Windows 11 zelf. In deze blogpost lees je wat ingebouwde Sysmon doet, hoe je het aanzet en een configuratie toepast, en hoe je controleert of er events binnenkomen.

Bijgewerkt in oktober 2026: deze blogpost beschreef de optionele preview-update van februari 2026. Volgens Microsoft komen wijzigingen uit een preview-update daarna in de reguliere updates, al noemt geen reguliere update voor 24H2 of 25H2 Sysmon bij naam; de sectie “Van preview naar reguliere update” en de vereisten zijn daarop aangepast.

Wat is ingebouwde Sysmon?

System Monitor (Sysmon) is een service met een driver die systeemactiviteit vastlegt in de Windows Event Log. Eenmaal aangezet blijft Sysmon actief na een herstart. Volgens Microsoft legt het onder meer het volgende vast:

• het starten van processen, met de volledige opdrachtregel van het proces en van het bovenliggende proces;
• hashes van de uitgevoerde bestanden, standaard SHA1, ook MD5, SHA256 of IMPHASH;
• het laden van drivers en DLL’s, met hun handtekening en hash;
• netwerkverbindingen, als je dat aanzet, met proces, IP-adressen, poorten en hostnamen;
• wijzigingen van de aanmaaktijd van bestanden, een techniek die malware gebruikt om sporen te wissen.

Belangrijk om te weten: Sysmon registreert alleen. Het analyseert de events niet, geeft geen meldingen en blokkeert niets. Om er iets mee te doen, stuur je de events door naar Windows Event Collection of naar een SIEM. Microsoft noemt ook Microsoft Defender for Endpoint en andere EDR-platformen als producten die Sysmon-events kunnen gebruiken.

Het verschil met de Sysinternals-versie zit vooral in het beheer. Ingebouwde Sysmon wordt bijgewerkt via de gewone kwaliteitsupdates van Windows: verbeteringen verschijnen eerst in een optionele preview-update en daarna in de volgende reguliere update, beveiligingsoplossingen komen mee met de maandelijkse beveiligingsupdate. Dat gebeurt ook als Sysmon uitstaat.

💡 Let op: de weergegeven eventtekst van ingebouwde Sysmon is vertaald in de taal van het apparaat, de XML-gegevens van het event niet. Leest een script of SIEM-koppeling de weergegeven tekst, dan moet je die mogelijk aanpassen voor apparaten in een andere taal dan Engels.

Van preview naar reguliere update

Ingebouwde Sysmon verscheen op 24 februari 2026 in de optionele preview-update KB5077241 voor Windows 11 24H2 en 25H2. In de tabel met updatekanalen van die releasenotes staat de standaardzin dat de wijzigingen in de volgende beveiligingsupdate verschijnen, en de beveiligingsupdate van 10 maart 2026 (KB5079473) meldt dat hij de niet-beveiligingswijzigingen van de preview van februari bevat. Microsoft noemt Sysmon daarin niet apart; de documentatie zegt dat Sysmon “sinds februari 2026” een ingebouwde optionele functie van Windows 11 is.

Voor Windows 11 26H1, de versie voor nieuwe apparaten uit begin 2026, staat Sysmon in de preview-update KB5079489 van 26 maart 2026. Windows 11 26H2, beschikbaar sinds 29 september 2026, noemt Sysmon in What’s new in Windows 11, version 26H2 als functie die sinds 25H2 aan Windows is toegevoegd.

De onderhoudscyclus is intussen zichtbaar: de preview-update KB5124010 van 22 september 2026 verhelpt drie problemen in Sysmon, waaronder onterechte events met ID 25 (Process Tampering) voor smss.exe, en de beveiligingsupdate KB5127648 van 13 oktober 2026 neemt die mee voor 24H2, 25H2 en 26H2.

Wat heb je nodig?

• Windows 11 24H2, 25H2 of 26H2; Microsoft noemt als vereiste alleen “een ondersteunde versie van Windows 11”. De preview van 24 februari 2026 is de eerste update die Sysmon noemt, en de beveiligingsupdate van maart bevat de wijzigingen van die preview. Voor 26H1 geldt hetzelfde vanaf de preview van 26 maart 2026. Microsoft noemt ingebouwde Sysmon ook een optionele functie van Windows Server 2025. Windows 11 24H2 Home en Pro kregen op 13 oktober 2026 hun laatste update.
• Beheerdersrechten op het apparaat.
• Geen losse Sysmon van Sysinternals op hetzelfde apparaat. De twee kunnen niet naast elkaar draaien.
• Een configuratiebestand in XML als je meer of andere events wilt vastleggen dan de standaardconfiguratie.

Controleer of de losse Sysmon al geïnstalleerd is

Ingebouwde Sysmon kun je pas aanzetten als de Sysinternals-versie van het apparaat af is. Een Windows-update laat een losse installatie ongemoeid; ingebouwde Sysmon blijft dan uit.

1. Open PowerShell als administrator.

2. Voer de volgende opdracht uit om te zoeken naar een Sysmon-service:

   # Lists any installed Sysmon service
   Get-Service sysmon*

3. Geeft de opdracht een resultaat, verwijder dan eerst de losse Sysmon.

Zet ingebouwde Sysmon aan

Ingebouwde Sysmon staat standaard uit. Aanzetten gaat in twee stappen: eerst de optionele functie, dan de Sysmon-service.

In de interface kies je Settings > System > Optional features > More Windows features en selecteer je Sysmon. Vanaf de opdrachtregel gaat het zo:

1. Open PowerShell als administrator.

2. Installeer de optionele functie met de volgende opdracht:

   # Installs the built-in Sysmon optional feature
   Enable-WindowsOptionalFeature -Online -FeatureName Sysmon

3. Installeer de service met de standaardconfiguratie:

   # Installs the Sysmon service and driver with the default configuration
   sysmon -i

Met DISM kan stap 2 ook: Dism /Online /Enable-Feature /FeatureName:Sysmon. Installeren en verwijderen van de service vraagt volgens Microsoft geen herstart.

Pas een configuratie toe

Het configuratiebestand bepaalt welke eventtypen Sysmon vastlegt en welke het wegfiltert. Microsoft verwijst in de documentatie naar een paar bekende configuraties uit de community als startpunt, en geeft zelf een minimaal voorbeeld.

1. Zet het configuratiebestand in een map naar keuze, bijvoorbeeld “C:\Sysmon\sysmonconfig.xml”.

2. Open PowerShell als administrator.

3. Pas de configuratie toe op een geïnstalleerde Sysmon:

   # Applies a configuration file to the installed Sysmon service
   sysmon -c C:\Sysmon\sysmonconfig.xml

Heb je de service nog niet geïnstalleerd, dan combineer je installatie en configuratie met sysmon -i C:\Sysmon\sysmonconfig.xml. Een configuratie werkt direct, zonder herstart. sysmon -c zonder bestand toont de actieve configuratie, sysmon -c -- zet die terug naar de standaardinstellingen.

💡 Let op: een configuratie die niet goed is afgestemd, kan veel events opleveren. Microsoft raadt aan een configuratie te testen voordat je die breed uitrolt.

Controleer of er events binnenkomen

1. Open Event Viewer.
2. Navigeer naar Applications and Services Logs > Microsoft > Windows > Sysmon > Operational.
3. Zie je events zoals Process Create of Network Connect, dan is Sysmon actief met de toegepaste configuratie.

Updates en testen

Omdat ingebouwde Sysmon meekomt met de Windows-updates, raadt Microsoft aan het in je gewone testproces mee te nemen: probeer preview-updates eerst op test- of pilotapparaten, bekijk de events en het gedrag, en pas zo nodig de configuratie aan voordat je de update breed uitrolt. Staat Sysmon aan, dan blijft de configuratie bij een update behouden en is er volgens Microsoft geen herstart nodig.

Microsoft beschrijft het aanzetten per apparaat. Hoe je dit centraal uitrolt, bijvoorbeeld via Intune, staat ook in oktober 2026 niet in de Sysmon-documentatie; Microsoft verwijst alleen naar de algemene pagina over optionele Windows-functies. Dat valt buiten deze blogpost.

Gebruikerservaring

Sysmon blokkeert volgens Microsoft niets en geeft geen meldingen; het schrijft alleen events naar de Event Log. Wat de gebruiker merkt, beschrijft Microsoft niet; wel levert een slecht afgestemde configuratie veel events op.

Tot slot

Met ingebouwde Sysmon hoef je de Sysmon-bestanden niet meer zelf te downloaden en bij te werken; dat doen de Windows-updates. Aanzetten, configureren en een losse Sysmon verwijderen doe je nog wel per apparaat. Kies een configuratie die past bij wat je wilt zien, test die op een paar apparaten en zorg dat iemand de events bekijkt.

📚 Alle opties van de opdrachtregel staan in Sysmon in Windows, de stappen in Enable and configure Sysmon in Windows en de betekenis van elk event in Sysmon events.