微软 Windows 11 系统内置了 Sysmon（System Monitor）活动监控器工具，用户可通过特定配置启用该功能以实时监控系统进程行为。
Sysmon 功能定位
Sysmon 是微软官方开发的高级系统监控工具，用于记录文件创建、网络连接、注册表变更等敏感活动。该工具默认处于禁用状态，需手动配置服务与日志输出。
启用前提条件
用户需具备管理员权限，并通过 PowerShell 执行配置命令。系统需已安装 Sysmon 模块（可通过 Microsoft Security Compliance Toolkit 获取）。
操作流程要点
配置文件采用 XML 格式定义监控规则，导入后启动 Sysmon 服务即可生效。建议结合事件查看器（Event Viewer）分析生成的 Event ID 4688 日志条目。
安全与性能影响
持续开启监控可能增加系统资源消耗，生产环境需评估磁盘 I/O 压力。微软官方推荐仅对受信任设备部署高级规则集。
via Neowin
