Sysmon — la lupa que Windows no trae puesta

Sysmon (System Monitor) forma parte de las herramientas Sysinternals de Microsoft. Se instala como servicio y controlador, escribe en su propio canal (Microsoft-Windows-Sysmon/Operational) y se gobierna con un archivo de configuración XML que decide qué se registra y qué se descarta. Sin esa configuración el volumen es inmanejable; con una buena, es la fuente más rica que tiene un SOC en un equipo Windows.

Su ventaja frente al 4688 no es solo el detalle: cada proceso recibe un ProcessGuid, un identificador único que no se repite aunque Windows recicle el número de proceso. Con él se puede seguir a un mismo proceso por todos sus eventos —lo que lanzó, a dónde se conectó, qué escribió— sin confundirlo con otro que tuvo el mismo PID una hora después.

De la veintena de eventos de Sysmon, unos pocos sostienen casi todas las investigaciones. 1: creación de proceso, con línea de comandos, proceso padre y hashes del ejecutable. 3: conexión de red, con dirección y puerto de destino y el proceso que la abrió. 11: creación de archivo, con la ruta escrita. 13: valor del registro modificado, donde aparecen las claves de arranque. 22: consulta DNS, con el nombre que el proceso intentó resolver.

Combinados cuentan la historia completa de un programa: Sysmon 1 dice qué se ejecutó y quién lo lanzó, el 3 a quién llamó, el 11 qué dejó en disco y el 13 cómo pensaba volver. El hash del evento 1 es además el indicador que se busca en todo el parque y en las fuentes de inteligencia.

La investigación con Sysmon es casi siempre la misma maniobra: partir de un evento sospechoso, tomar su ProcessGuid y pedir todos los eventos con ese identificador. Lo que sale en orden de hora es la biografía del proceso. Si el proceso lanzó otro, el hijo trae el guid del padre en ParentProcessGuid, y se tira de ese hilo hacia arriba o hacia abajo.

Esa biografía es la que entra en el reporte: no «powershell sospechoso», sino «a las 09:41 una hoja de cálculo lanzó un intérprete oculto que se conectó a una dirección externa, escribió una biblioteca en una carpeta pública y la registró para arrancar con el equipo». El siguiente turno entiende eso en un minuto.

En la consola tienes la telemetría de Sysmon de del-ws-022 de la mañana del 30 de septiembre. El intérprete oculto que lanzó la hoja de cálculo tiene su ProcessGuid; con él puedes seguirlo. Encuentra el archivo que escribió en disco.