Microsoft cung cấp rất nhiều công cụ hữu ích cho người dùng cuối có thể được sử dụng để tinh chỉnh, phát, khắc phục sự cố, chẩn đoán, bảo mật hoặc làm bất cứ điều gì với hệ điều hành Windows . Sysinternals System Monitor (Sysmon), là một công cụ mới được phát hành được thiết kế cho máy tính chạy hệ điều hành Windows^(Windows) , công cụ này thu thập tất cả các tệp nhật ký hệ thống. Các tệp nhật ký này rất quan trọng và cốt yếu để hiểu các vấn đề liên quan đến Windows . Sysmon sau khi được cài đặt tiếp tục chạy ở chế độ nền như không hoạt động và có thể hoạt động trở lại khi được yêu cầu.

Sysmon System Monitor dành cho Windows

Quy trình cơ bản đằng sau System Monitor là nó lưu trữ thông tin từ các tác nhân Bộ sưu tập sự kiện Windows^{(Windows Event Collection)} ( Trình xem sự kiện^{(Event Viewer)} ) và Thông tin bảo mật^{(Security Information)} và quản lý sự kiện^{(Event Management)} ( SIEM ) như ID^(IDs) quy trình , GUID^(GUIDs) , SHA1 , MD5 ( SHA256 ) nhật ký băm. Nó lưu trữ tất cả các tệp này trong thư mục Applications and Services\logs\Microsoft\Windows\Sysmon\operational trong Windows 10/8/7/Vista và trong Nhật ký sự kiện hệ thống trong các hệ điều hành ^{( System event log)}Windows  cũ hơn như Windows XP.

Cách cài đặt System Monitor
^{(How to install System Monitor)}

• Tải xuống Sysmon [^{(Download Sysmon [)} liên kết tải xuống được cung cấp bên dưới]
• Tệp được tải xuống sẽ ở định dạng zip. Giải nén tệp bằng trình giải nén tệp mặc định của windows hoặc thử Winrar , 7zip, v.v.
• Khi tệp được giải nén, hãy chạy “Sysmon” chấp nhận EULA và nhấn Tiếp theo.
• Chờ ^(Wait)Hệ thống^(System) , Màn hình^(Monitor) cài đặt xong, vậy thôi!

Cách sử dụng Sysmon^{(How to use Sysmon)}

Dòng lệnh trong sysmon có thể được sử dụng để cài đặt, gỡ cài đặt, kiểm tra và tinh chỉnh cấu hình của System Monitor:

Install:    Sysmon.exe -i [-h [sha1|md5|sha256]] [-n]

Configure:  Sysmon.exe -c [[-h [sha1|md5|sha256]] [-n]|--]

Uninstall:  Sysmon.exe –u

Một số lệnh mà người dùng cần hiểu là:^{(Few commands that user need to understand are:)}

- i: cài đặt các chương trình dịch vụ và trình điều khiển

-n : lưu trữ nhật ký kết nối mạng

-u : gỡ cài đặt chương trình dịch vụ và trình điều khiển

-c : nó cập nhật trình điều khiển sysmon đã cài đặt trên máy tính hoặc giúp kết xuất các cài đặt cấu hình hiện tại có sẵn

-h : Nó chỉ định thuật toán được áp dụng cho chương trình [theo mặc định SHA1 được áp dụng]

Ví dụ:^(Examples:)

• Để cài đặt ứng dụng với cài đặt mặc định: “ sysmon -i acceptteula ^{(sysmon -i accepteula)}” không có dấu ngoặc kép [SHA1 mặc định]
• Để cài đặt ứng dụng với cài đặt MD5 [SHA256]: “ sysmon -i acceptteula –h md5 -n ^{(sysmon -i accepteula –h md5 -n)}”  
• Để gỡ cài đặt “ sysmon -u ”

System Monitor lưu trữ các sự kiện như ID sự kiện^{(Event IDs)} ,

• ID sự kiện 1^{(Event ID 1)} : Được sử dụng để tạo quy trình,
• ID sự kiện 2^{(Event ID 2)} : Một Quy trình^(Process) đã thay đổi thời gian tạo tệp với dấu thời gian và
• ID sự kiện 3^{(Event ID 3)} : Đối với kết nối mạng.

Công cụ sẽ tiếp tục chạy ở chế độ nền và sẽ ghi tất cả nhật ký sự kiện vào một thư mục. Sau khi cài đặt hoặc gỡ cài đặt, khởi động lại hệ thống không phải là tất cả.

Nó là một công cụ cần phải có cho tất cả các máy tính chạy trên Windows . Hãy lấy công cụ System Monitor từ here!

CẬP NHẬT^(UPDATE) : Windows Sysinternals Sysmon hiện cũng ghi lại hoạt động của quá trình vào nhật ký sự kiện Windows để sử dụng bằng cách phát hiện sự cố và phân tích pháp y, bao gồm các sự kiện tải trình điều khiển và tải hình ảnh với thông tin chữ ký, báo cáo thuật toán băm có thể định cấu hình, bộ lọc linh hoạt để bao gồm và loại trừ các sự kiện và hỗ trợ để cung cấp cấu hình thông qua tệp cấu hình thay vì dòng lệnh. Nó cũng được phát hiện giả mạo quy trình phần mềm độc hại .

Sysinternals Sysmon system monitor for Windows

Microsoft offers a plethora of useful tools for end-users that cаn bе used to tweak, play, troubleshoot, diagnose, secure, or do anything with the Windows operating system. Sysinternals System Monitor (Sysmon), is one such newly released tool designed for Windows-based computer which collects all system log files. These log files are very important and crucial to understand issues pertaining to Windows. Sysmon once installed keeps running in the background as dormant and can be brought back to life when required.

Sysmon System Monitor for Windows

The basic workflow behind System Monitor is that it stores information from Windows Event Collection (Event Viewer) and Security Information and Event Management (SIEM) agents like process IDs, GUIDs, SHA1, MD5 (SHA256) hash logs. It stores all these files under Applications and Services\logs\Microsoft\Windows\Sysmon\operational folder in Windows 10/8/7/Vista, and under System event log in older Windows operating systems like Windows XP.

How to install System Monitor

• Download Sysmon [download link provided below]
• The downloaded file will be in zip format. Unzip the file using windows default file extractor or try Winrar, 7zip etc.
• Once the file is unzipped, run “Sysmon” accept the EULA and hit Next.
• Wait for System, Monitor to complete installation, that’s all!

How to use Sysmon

The command line in sysmon can be used to install, uninstall, check and to tweak System Monitor’s configuration:

Install:    Sysmon.exe -i [-h [sha1|md5|sha256]] [-n]

Configure:  Sysmon.exe -c [[-h [sha1|md5|sha256]] [-n]|--]

Uninstall:  Sysmon.exe –u

Few commands that user need to understand are:

–i: install service and driver programs

-n: stores network connection logs

-u: uninstall service and driver programs

-c: it updates the installed sysmon driver on the computer or helps to dump current configuration  settings available

-h: It specifies the algorithm applied to the program [by default SHA1 is applied]

Examples:

• To install the application with default settings: “sysmon -i accepteula” without quotes [SHA1 default]
• To install the application with MD5 [SHA256] settings: “sysmon -i accepteula –h md5 -n”  
• To uninstall “sysmon -u”

System Monitor stores events like Event IDs as,

• Event ID 1: Used for Process Creation,
• Event ID 2: A Process changed a file creation time with timestamp and
• Event ID 3: For Network Connection.

The tool will keep running in the background and will write all event logs into a folder. After install or uninstall a system reboot is not all required.

It is a must-have tool for all computers running on Windows. Go grab the System Monitor tool from here!

UPDATE: Windows Sysinternals Sysmon now also records process activity to the Windows event log for use by incident detection and forensic analysis, includes driver load and image load events with signature information, configurable hashing algorithm reporting, flexible filters for including and excluding events, and support for supplying configuration via a configuration file instead of the command line. It also gets malware process tampering detection.

Related posts

• Vật lý Memory Limits Trong các tệp Crash Dump cho Windows 10

• Cách sử dụng SysInternals Process Explorer tool cho Windows 10

• Quá trình Manager cho phép bạn đo computer reboot lần và nhiều hơn nữa

• RAMMap là memory usage analysis utility từ SYSITERNALS

• Chia sẻ tệp với bất kỳ ai có Send Anywhere cho Windows PC

• Watch TV kỹ thuật số và nghe Radio trên Windows 10 với ProgDVB

• Làm thế nào để thêm Group Policy Editor để Windows 10 Home Edition

• một PPS file là gì? Làm thế nào để chuyển đổi PPS để PDF trong Windows 11/10?

• Windows.edb file trong Windows 10 là gì

• Cách cài đặt Drupal bằng WAMP trên Windows

• Context Menu Biên tập: Add, Remove Context Menu mục trong Windows 11

• PicsArt Mời Custom Stickers & Exclusive 3D Editing trên Windows 10

• Hide Toolbars option Trong Taskbar Context Menu trong Windows 10

• Làm thế nào để kiểm tra Shutdown and Startup Log trong Windows 10

• Cách mở System Properties trong Windows 10 Control Panel

• Kích hoạt Network Connections trong khi trong Modern Standby trên Windows 10

• 5 Best Podcast Apps miễn phí cho Windows 10

• Cách thay đổi Taskbar size trên Windows 11

• Cách trao đổi ổ đĩa cứng trong Windows 10 với Hot Swap

• Cách bật hoặc Disable Archive Apps feature trong Windows 10