Muchas funciones de Windows requieren activación previa porque no están visibles por defecto. Sysmon es una de ellas: Microsoft la ha integrado en Windows 11 como característica opcional, aunque llegó desactivada de serie.
Sysmon, abreviatura de System Monitor, registra en detalle la actividad del PC: procesos iniciados, conexiones de red y movimiento de archivos. No bloquea nada, pero proporciona un historial completo para investigar qué hacen las aplicaciones y los servicios en segundo plano.
Cómo activar Sysmon desde PowerShell en Windows 11
Hay un requisito previo. La versión integrada no puede convivir con la edición independiente de Sysinternals, así que quien la instalara antes debe eliminarla primero.
El proceso de activación es:
- Abrir PowerShell con permisos de administrador.
- Ejecutar
Get-Service sysmon*para comprobar si ya está instalado. - Si no aparece resultado, continuar; si detecta un servicio, desinstalar primero la versión independiente.
- Activar la característica integrada con Enable-WindowsOptionalFeature -Online -FeatureName Sysmon.
- Una vez activada, instalar Sysmon con su configuración predeterminada mediante
sysmon -i.
Los dos últimos pasos son imprescindibles: Sysmon viene desactivado y no genera eventos hasta completarlos.
El Visor de eventos confirma que Sysmon está registrando
Con la herramienta en marcha, el Visor de eventos muestra los datos guardados. Los eventos aparecen en Registros de aplicaciones y servicios > Microsoft > Windows > Sysmon > Operational, donde se ven creaciones de procesos, conexiones de red y actividad de archivos.
El registro crece muy deprisa. Para filtrarlo, usa la opción Filtrar registro actual del Visor de eventos para cribar por ID de evento, o crea una configuración propia de Sysmon para evitar que se registren eventos innecesarios.
Un archivo XML personalizado controla qué se guarda
La configuración predeterminada funciona para empezar, pero Sysmon gana utilidad con un archivo XML personalizado que elija qué eventos vigilar.
Si dominas el formato XML, puedes crear tu propia configuración. La documentación oficial de Microsoft recomienda configuraciones mantenidas por la comunidad como punto de partida, disponibles en su guía de configuración. Para aplicar un XML propio usa el comando sysmon -c C:Sysmonsysmonconfig.xml. Sysmon también forma parte de Sysinternals Suite, que Microsoft actualiza con frecuencia.
Puedes seguir a HardwarePremium en Facebook, Twitter (X), Instagram, Threads, BlueSky o Youtube. También puedes consultar nuestro canal de Telegram para estar al día con las últimas noticias de tecnología.
Preguntas frecuentes
No. Microsoft lo ha integrado como característica opcional, pero llega desactivado y hay que activarlo e instalarlo desde PowerShell antes de que genere eventos.
Primero Enable-WindowsOptionalFeature -Online -FeatureName Sysmon para activar la característica y después sysmon -i para instalarla con la configuración predeterminada, ambos en PowerShell como administrador.
No. Microsoft indica que la versión integrada es incompatible con la independiente de Sysinternals, que debe desinstalarse antes. El comando Get-Service sysmon* permite comprobar si está instalada.
En el Visor de eventos, dentro de Registros de aplicaciones y servicios > Microsoft > Windows > Sysmon > Operational. Ahí aparecen la creación de procesos, las conexiones de red y la actividad de archivos.
Una pantalla de 171" en unas gafas 🤯 ASUS ROG XREAL R1
Logitech PRO X2 RAPID: teclado analógico con Rapid Trigger y pantalla OLED ¿Vale 229 €?
Este portátil no lleva Intel ni AMD: lleva un chip ARM de Qualcomm, y eso lo cambia todo. 💻⚡
Probamos el nuevo Logitech G PRO X3 Superstrike en el evento de Logitech en Madrid 🖱️🔥
Bambu Lab R1: ¡55 W de potencia láser! 🔥 #Shorts
Comentarios