系统监视器

Sysmon（System Monitor）是微软为 Windows 平台设计的一款轻量级、可扩展的事件监视器，旨在通过捕获系统底层活动来增强高级威胁检测与取证能力。不同于传统仅监控用户可见操作的工具，Sysmon 深入操作系统内核层面，记录进程创建、网络连接、文件访问及注册表变更等关键事件。其设计初衷是解决传统安全软件在检测高级持续性威胁（APT）时因日志缺失或覆盖不全导致的盲区问题，为现代零信任架构下的安全运营提供精细化的数据基础。

在现代计算架构中，Sysmon 扮演着‘安全感知神经末梢’的关键角色，填补了传统杀毒软件与终端检测响应（EDR）之间的数据断层。它不直接提供防护功能，而是作为数据源，将分散的系统行为转化为结构化的安全事件流，供 SIEM（安全信息和事件管理）系统或 EDR 平台进行关联分析与威胁狩猎。其核心价值在于以极低的资源开销实现高颗粒度的系统可观测性，是构建纵深防御体系、实现从‘被动响应’向‘主动防御’转型不可或缺的基础组件。