Skuteczny monitoring Windows to nie tylko włączony dziennik. Potrzebujesz zdarzeń przydatnych w dochodzeniu, odpowiednio długiej historii oraz informacji, że zbieranie przestało działać.
Trzy warstwy monitoringu
- Dzienniki Windows: zacznij od Security, System oraz dzienników używanych aplikacji. Zakres zależy od konfiguracji audytu i roli urządzenia.
- Sysmon: uzupełnia widoczność aktywności systemu, m.in. procesów. Dane trafiają do dziennika Microsoft-Windows-Sysmon/Operational. Zakres zdarzeń zależy od konfiguracji; Sysmon nie rejestruje automatycznie wszystkiego.
- Centralne zbieranie: ustal, które zdarzenia wysyłasz do kolektora lub platformy analitycznej, kto je analizuje i jak powstaje zgłoszenie.
Pilot na jednej stacji
Poniższy scenariusz jest propozycją wdrożeniową, nie raportem z testów wykonanych w Twoim środowisku.
- Wybierz nieprodukcyjną stację i zanotuj wersję Windows, konfigurację audytu oraz wersję Sysmon, jeżeli go używasz.
- W Podglądzie zdarzeń sprawdź najstarszy i najnowszy wpis w wybranym dzienniku, jego rozmiar oraz sposób obsługi zapełnienia.
- Wygeneruj uzgodnione, bezpieczne zdarzenie: np. uruchom Notatnik przy włączonej rejestracji tworzenia procesów w Sysmon.
- Znajdź zdarzenie lokalnie, a następnie w centralnym narzędziu. Porównaj nazwę hosta, czas i dane procesu.
- Zapisz opóźnienie dostarczenia oraz osobę, która odbiera alert. Sam status „agent połączony” nie potwierdza odbioru konkretnego dziennika.
Retencja i ochrona dowodów
Dobierz pojemność i czas przechowywania do tempa przyrostu danych oraz potrzeb organizacji. Sprawdź, czy rotacja nie usuwa historii wcześniej niż zakładano. Przed zmianami zachowaj potrzebne zdarzenia przez eksport dziennika. Nie czyść logów i nie wyłączaj rejestrowania jako sposobu na ograniczenie szumu — najpierw dopracuj filtry i reguły analizy.
Jak wykryć utratę widoczności
- alarmuj o braku nowych zdarzeń z aktywnego hosta;
- obserwuj zmiany konfiguracji audytu i działania usług zbierających logi;
- porównuj zegary hostów i kolektora;
- sprawdzaj kolejki, miejsce na dysku i błędy dostarczania.
Protokół odbioru powinien zawierać: źródło, testowe zdarzenie, czas lokalny i centralny, wynik oraz osobę sprawdzającą. To daje powtarzalny test po aktualizacji lub zmianie konfiguracji.
Dokumentacja: Microsoft Sysmon i wevtutil — odczyt i eksport dzienników. Aktualizacja: 15.10.2026.