Pengiriman Sysmon di dalam Windows 11 secara default menutup celah yang lama ada: OS kini menulis catatan acara terstruktur untuk pembuatan proses, koneksi jaringan, pengeditan registri, perubahan sistem file, dan pemuatan DLL tanpa pemasangan pihak ketiga apa pun. Task Manager bukanlah jawaban untuk “apa yang dilakukan komputer saya” selama satu dekade, tetapi bundling Sysmon mengubah garis dasar untuk semua orang, bukan hanya tim keamanan. Kami membangun kembali rak peralatan harian sysadmin di Windows 11 dan menentukan peringkat tujuh aplikasi analisis log acara yang layak dipertahankan, mempertimbangkan apa yang setiap aplikasi ungkapkan yang hilang dari Event Viewer saja.
Daftar ini menggabungkan utilitas Sysinternals yang dipertahankan Microsoft (gratis, tidak memerlukan instalasi), satu alat bawaan yang dirancang ulang, dan tiga agen penerusan acara yang mengambil log mentah dan mengirimkannya ke tempat yang dapat ditanyakan.
Apa yang harus dicari dalam aplikasi analisis log acara Windows
Kategori tampak seragam sampai Anda benar-benar mencoba menyelidiki insiden. Lima kriteria memisahkan pilihan di bawah ini dari buku catatan penuh perangkat lunak gratis yang tidak digunakan:
- Kedalaman penangkapan. Pohon proses, baris perintah, PID induk, hash file, titik akhir jaringan. Semakin dalam penangkapan, semakin sedikit Anda perlu merekayasa ulang skenario.
- Kemampuan penyaringan. Sistem nyata menghasilkan 50.000 acara per jam. Aplikasi memerlukan bahasa filter yang bertahan dalam beban kerja nyata, bukan hanya kotak pencarian.
- Live vs. historis. Beberapa alat duduk langsung di sistem dan streaming. Yang lain membaca file .evtx sesudahnya. Sebagian besar penyelidikan memerlukan keduanya.
- Penerusan. Log hanya penting ketika meninggalkan mesin. Penerusan ke SIEM atau toko yang di-host sendiri harus berupa konfigurasi, bukan skrip khusus.
- Biaya kinerja. Penangkapan acara di tingkat dalam dapat menyematkan inti CPU. Alat yang baik memungkinkan Anda menyetel lantai kebisingan tanpa mengompilasi ulang.
Perbandingan cepat
| App | Best for | Bundle | Free | Live capture |
|---|---|---|---|---|
| Sysinternals Sysmon | Deep, structured event records | Bundled in Windows 11 | Yes | Yes |
| Sysinternals Process Monitor | Real-time file, registry, network | Sysinternals Suite | Yes | Yes |
| Sysinternals Process Explorer | Process tree drill-down | Sysinternals Suite | Yes | Yes |
| Windows Event Viewer | Built-in baseline | Windows | Yes | Live and historical |
| NXLog Community Edition | Free log forwarding | Standalone | Yes | Yes |
| Snare Open Source Agent | Event log forwarding to Syslog | Standalone | Yes | Yes |
| EventSentry Light | Free SIEM-lite for small networks | Standalone | Free tier | Yes |
7 aplikasi analisis log acara Windows terbaik
1. Sysinternals Sysmon, terbaik untuk catatan acara terstruktur yang mendalam
Sysinternals Sysmon berjalan sebagai layanan Windows dan menulis catatan acara terperinci ke saluran Microsoft-Windows-Sysmon/Operational. Catatan mencakup baris perintah lengkap, proses induk, hash gambar, DLL yang dimuat, koneksi jaringan dengan tujuan, dan pembuatan pipa bernama. File konfigurasi XML adalah fitur pembunuh: konfigurasi yang dikurasi (konfigurasi referensi SwiftOnSecurity adalah standar komunitas) mengurangi kebisingan ke acara yang benar-benar penting di server atau workstation. Dengan Sysmon kini disertakan dalam Windows 11, langkah instalasi hilang untuk kotak baru.
Di mana ia jatuh pendek: Konfigurasi adalah seluruh produk. Konfigurasi buruk membuat Sysmon tidak berguna atau membanjiri saluran. Versi bundel-ke-Windows dapat tertinggal dari unduhan mandiri dengan satu rilis.
Harga:
- Gratis: ya
- Berbayar: tidak
Platform: Windows 11 (bawaan), Windows 10, Windows Server
Unduh: learn.microsoft.com/sysinternals/downloads/sysmon
Garis bawah: Pilihan default untuk siapa pun yang menyelidiki apa yang benar-benar dilakukan mesin Windows. Pasangkan dengan konfigurasi yang dipertahankan seperti konfigurasi SwiftOnSecurity.
2. Sysinternals Process Monitor, pelacakan file dan registri real-time terbaik
Sysinternals Process Monitor (Procmon) adalah alat pelacakan langsung yang Anda jalankan ketika program melakukan sesuatu yang tidak dapat dijelaskan. Ini menangkap setiap panggilan sistem file, akses registri, titik akhir jaringan, dan acara proses dengan stempel waktu submilidetik, kemudian memungkinkan Anda menyaring aliran yang dihasilkan menurut proses, jalur, operasi, atau hasil. Tampilan “pohon proses” menunjukkan hubungan induk-anak selama pelacakan, dan tampilan “tumpukan” muncul ke situs panggilan yang membuat panggilan. Menyimpan jejak sebagai PML memungkinkan rekan kerja membukanya di mesin yang berbeda dan mulai menyaring segera.
Di mana ia jatuh pendek: Procmon menangkap secara agresif, yang mengisinya disk dan memperlambat mesin jika dibiarkan berjalan selama berjam-jam. Penyaringan intuitif tetapi memerlukan latihan.
Harga:
- Gratis: ya
- Berbayar: tidak
Platform: Windows 11, Windows 10, Windows Server
Unduh: learn.microsoft.com/sysinternals/downloads/procmon
Garis bawah: Alat yang Anda gunakan ketika “Sysmon menunjukkan peluncuran tetapi saya tidak mengerti mengapa hal berikutnya terjadi.” Jalankan secara singkat, saring, simpan, keluar.
3. Sysinternals Process Explorer, terbaik untuk penggalian pohon proses
Sysinternals Process Explorer adalah pengganti Task Manager yang telah dikirim dalam Sysinternals Suite selama lebih dari dua puluh tahun. Tampilan pohon proses menunjukkan rantai induk-anak yang disembunyikan Task Manager, batang I/O dan jaringan per-proses menampilkan apa yang sebenarnya jenuh mesin yang sibuk, dan pencarian “Temukan Handle atau DLL” adalah cara standar untuk mempelajari proses mana yang memegang file terbuka yang tidak dapat Anda hapus. Pencarian VirusTotal yang ditandatangani pada hash menandai biner tidak dikenal tanpa meninggalkan aplikasi.
Di mana ia jatuh pendek: Kepadatan visual membutuhkan aklimatisasi. Beberapa operasi sysadmin (membunuh paksa proses terlindungi) masih membutuhkan elevasi administrator.
Harga:
- Gratis: ya
- Berbayar: tidak
Platform: Windows 11, Windows 10, Windows Server
Unduh: learn.microsoft.com/sysinternals/downloads/process-explorer
Garis bawah: Upgrade Task Manager gratis yang harus ada di mesin setiap admin Windows. Konfigurasikan untuk menggantikan Task Manager dan lupakan Anda beralih.
4. Windows Event Viewer, baseline bawaan terbaik
Windows Event Viewer adalah aplikasi bawaan yang setiap alat lain di daftar ini baik membaca darinya atau menulis ke dalamnya. Fitur Custom Views memungkinkan Anda menyematkan kueri menurut ID acara, sumber, atau XPath, dan fitur Subscriptions menarik acara dari mesin jarak jauh ke saluran kolektor lokal tanpa membayar untuk SIEM. Integrasi aplikasi Pengaturan yang dirancang ulang dalam pembaruan Windows 11 terbaru menampilkan kueri umum (kerusakan terbaru, acara pemasangan aplikasi) tanpa perlu mengingat nama saluran.
Di mana ia jatuh pendek: UI masih konsol MMC yang sama sejak Windows Vista inti, dan filter XPath kompleks memerlukan pengeditan dalam XML. Menyimpan kueri adalah per-mesin, tanpa ekspor.
Harga:
- Gratis: ya
- Berbayar: tidak
Platform: Windows 11, Windows 10, Windows Server
Unduh: Sudah terpasang; ketik “Event Viewer” ke menu Mulai
Garis bawah: Tempat pertama untuk mencari acara apa pun. Setelah kueri menjadi berulang, dorong ke salah satu alat khusus di bawah.
5. NXLog Community Edition, penyeberang log gratis terbaik
NXLog Community Edition adalah inti terbuka gratis dari tumpukan manajemen log NXLog. Ini membaca log acara Windows (termasuk Sysmon), syslog Linux, file datar, dan sumber aplikasi khusus, kemudian meneruskan ke syslog, file, Kafka, Elasticsearch, atau titik akhir HTTP apa pun. Bahasa konfigurasi mudah dipahami dan terdokumentasi dengan baik, dan biner CE mencakup Windows, Linux, dan beberapa BSD. Komunitas menstandarkan NXLog CE sebagai agen pilihan ketika mengirim acara Windows ke Elastic atau SIEM yang di-host sendiri.
Di mana ia jatuh pendek: Beberapa modul keluaran canggih (S3, Azure Sentinel langsung) dicadangkan untuk tingkat Enterprise. Installer Windows CE jarang mendokumentasikan untuk pengguna pertama kali.
Harga:
- Gratis: ya untuk Community Edition
- Berbayar: Harga Enterprise atas permintaan
Platform: Windows, Linux, BSD
Unduh: nxlog.co/products/nxlog-community-edition
Garis bawah: Agen default ketika tujuan adalah “mengirim acara Windows ke tempat yang dapat ditanyakan tanpa biaya SIEM per-acara.”
6. Snare Open Source Agent, penyeberang Windows-ke-Syslog terbaik
Snare Open Source Agent adalah agen Windows jangka panjang yang mengonversi catatan Event Log menjadi pesan Syslog untuk penerusan ke kolektor jarak jauh. Keuntungan dibanding NXLog adalah kesederhanaan: agen melakukan satu hal, UI konfigurasi adalah dialog tunggal, dan output adalah format yang sudah diketahui oleh setiap SIEM. Open Source Snare mencakup sebagian besar instalasi; versi Enterprise menambahkan TLS, penyaringan dinamis, dan integrasi AD.
Di mana ia jatuh pendek: Kurang fleksibel daripada NXLog jika Anda ingin membaca sumber non-Windows atau mengubah pesan. Dokumentasi condong ke Enterprise SKU.
Harga:
- Gratis: ya untuk agen Open Source
- Berbayar: Harga Enterprise atas permintaan
Platform: Windows
Unduh: github.com/snareopensource/SnareAgent
Garis bawah: Pilihan ketika kolektor target berbicara Syslog dan tujuannya adalah jalur terpendek dari EVTX ke kolektor itu.
7. EventSentry Light, SIEM-lite gratis terbaik untuk jaringan kecil
EventSentry Light adalah tingkat gratis dari produk EventSentry, dirancang untuk membawa sebagian besar fitur pemantauan dalam jangkauan jaringan kecil. Ini menggabungkan pemantauan log acara real-time, pemeriksaan integritas file, penghitung kinerja, dan dasbor web ke dalam satu pemasang, dengan batas gratis pada jumlah mesin yang dipantau. Untuk homelab atau kantor satu server, ini mencakup kasus penggunaan yang memerlukan SIEM yang lebih berat, dengan sebagian kecil waktu penyiapan.
Di mana ia jatuh pendek: Tingkat gratis membatasi berapa banyak titik akhir yang dapat dipantau. Permukaan fitur penuh (laporan kepatuhan, pemberitahuan canggih) dicadangkan untuk tingkat berbayar.
Harga:
- Gratis: EventSentry Light, batas titik akhir yang dipantau berlaku
- Berbayar: Tingkat EventSentry Full dan Premium, dihargai per titik akhir
Platform: Kolektor server Windows, agen untuk Windows, Linux, dan perangkat SNMP
Unduh: eventsentry.com/light
Garis bawah: Jalan tengah antara “Event Viewer plus Excel” dan “beli SIEM.” Ukuran yang tepat untuk kantor kecil atau homelab serius.
Cara memilih yang tepat
- Mulai dengan Windows Event Viewer karena sudah terpasang. Sematkan Custom View untuk saluran yang peduli.
- Tambahkan Sysinternals Sysmon ke setiap mesin yang Anda kelola. Pasangkan dengan konfigurasi referensi yang dipertahankan sehingga lantai kebisingan tetap dapat dikelola.
- Simpan Process Monitor dan Process Explorer di folder toolkit. Mereka adalah jawaban yang tepat saat “Sysmon mengatakan X terjadi, tetapi mengapa” muncul.
- Pilih NXLog Community Edition jika langkah berikutnya adalah mengirim acara ke toko Elastic atau yang di-host sendiri.
- Pilih Snare Open Source Agent jika kolektor menginginkan Syslog dan Anda menginginkan satu dialog konfigurasi, bukan bahasa konfigurasi.
- Pilih EventSentry Light jika Anda menginginkan dasbor kecil, pemberitahuan, dan pemantauan integritas file tanpa membayar harga enterprise.
FAQ
Apakah Sysmon benar-benar bawaan Windows 11 sekarang?
Saluran pembaruan Windows 11 terbaru menyertakan Sysmon sebagai biner bundel, tidak ada unduhan terpisah yang diperlukan. Konfigurasi masih menjadi tanggung jawab administrator; tanpa konfigurasi, Sysmon menulis acara minimal. Pasangkan biner bundel dengan konfigurasi referensi yang dipertahankan untuk mendapatkan nilainya.
Apakah saya memerlukan SIEM untuk menggunakan Sysmon?
Tidak. Sysmon menulis ke log acara Windows seperti sumber lainnya, dan Event Viewer saja cukup untuk membaca catatan di satu mesin. SIEM atau penerus seperti NXLog menjadi berguna ketika Anda memiliki lebih dari sekadar beberapa mesin dan ingin menanyakan di seluruhnya.
Apa perbedaan antara Process Explorer dan Process Monitor?
Process Explorer adalah pengganti Task Manager yang menunjukkan keadaan proses langsung, pohon induk-anak, dan penggunaan sumber daya per-proses. Process Monitor adalah alat pelacakan yang merekam setiap operasi file, registri, dan jaringan selama jendela pelacakan. Gunakan Process Explorer untuk “apa yang sedang berjalan”; gunakan Process Monitor untuk “apa yang sedang dilakukan sekarang.”
Apakah Sysmon bagian dari Microsoft Defender for Endpoint?
Microsoft Defender for Endpoint menggunakan banyak sinyal dasar yang sama, tetapi ini adalah produk berbayar terpisah. Sysmon adalah alat gratis dari tim Sysinternals yang dapat disebarkan oleh administrator apa pun pada mesin Windows apa pun tanpa langganan Defender for Endpoint.
Bisakah saya meneruskan log acara Windows ke SIEM Linux?
Ya. NXLog Community Edition, Snare Open Source, dan agen Winlogbeat resmi Microsoft meneruskan acara Windows sebagai Syslog atau JSON ke kolektor Linux. Sebagian besar instalasi ELK dan Graylog menerima format ini secara langsung.
