Windows 11 Sysmonネイティブ統合 完全ガイド：有効化から設定・活用まで

「Sysmonを導入したいけれど、手動更新の手間や専用ツールの費用がネックで後回しにしていた」というIT管理者の方も多いのではないでしょうか。Windows 11へのSysmonネイティブ統合により、その状況が大きく変わりつつあります。

• SysmonがWindows 11にネイティブ統合された背景と、従来版との違い
• 設定アプリ・DISM・PowerShellを使ったSysmon有効化の具体的な手順
• 中小企業がSIEMなしで始められる、現実的なSysmonセキュリティ監視の方法

本記事では、Windows 11へのSysmonネイティブ統合に伴う有効化手順・XML設定ファイルの基本・イベントログ確認方法・中小企業向けセキュリティ監視の活用例をわかりやすく解説します。

SysmonのWindows 11ネイティブ統合とは何か

SysmonのWindows 11ネイティブ統合とは、従来Sysinternalsから別途インストールが必要だったSysmonがOSのオプション機能に組み込まれ、Windows Update経由で自動更新されるようになった変更のことです。

Sysmon（System Monitor）は、プロセスの生成やネットワーク接続などの詳細なシステム活動を記録し、脅威の検出に役立てる高度な監視ツールです。従来はMicrosoftのSysinternalsから別途ダウンロードが必要でしたが、Windows 11およびWindows Server 2025のオプション機能としてOSにネイティブ統合されることが決定しました。詳細はSysmonの概要（Microsoft公式）で確認できます。

2025年11月にMicrosoft IgniteでこのWindows 11統合が発表され、2026年2月にはWindows 11 Insider Preview（KB5074177、KB5074178）およびRelease Preview（KB5077241）への展開が開始されています。KB5077241は2026年2月のWindows 11オプション累積更新プログラムであり、Sysmonのネイティブ統合はその中に含まれる新機能の一つです。KB5077241の内容と適用対象はKB5077241サポートページ（Microsoft公式）で確認できます。Ignite発表時の詳細はMicrosoft Tech Community公式ブログで確認できます。

従来方式とネイティブ統合の比較

ネイティブ統合によって、導入・保守の方法が根本的に変わります。以下で両者の違いを整理します。

ビルトイン版の重要な制約事項

ネイティブ統合には便利な点が多い一方、運用前に必ず把握しておくべき制約があります。

Sysmonを有効化する手順

1. 設定アプリまたはDISMコマンドでSysmonをオプション機能として有効化する
2. 管理者権限のPowerShell（またはコマンドプロンプト）で sysmon -i を実行し、サービスを初期化する

ビルトイン版のSysmonは、設定アプリまたはDISM／PowerShellコマンドで有効化し、sysmon -i でサービスを初期化することで使用を開始できます。詳細はSysmonの有効化と構成（Microsoft公式）で確認できます。

方法①：設定アプリから有効化する

最も簡単な方法は、Windowsの設定アプリから有効化することです。

方法②：DISM／PowerShellで有効化する

複数台のPCを管理するIT管理者の場合、コマンドを使った有効化が便利です。PowerShellを管理者権限で開き、以下のいずれかのコマンドを実行します。

DISMコマンドの場合：

Dism /Online /Enable-Feature /FeatureName:Sysmon

PowerShellコマンドレットの場合：

Enable-WindowsOptionalFeature -Online -FeatureName Sysmon

機能を有効化した後、Sysmonのサービスを初期化・開始するために以下のコマンドを実行します。

sysmon -i

なお、グループポリシー（GPO）やMicrosoft Intuneを利用した大規模展開では、上記のDISMコマンドをスクリプト化して複数端末に一括適用することも可能です。

カスタムXML設定ファイルを適用する場合

Sysmonはデフォルト設定でも動作しますが、ノイズ（不要なログ）を減らすためにカスタムのXML設定ファイルを適用するのが一般的です。設定ファイルを指定して初期化するには以下のコマンドを実行します。

sysmon -i config.xml

稼働中のSysmonの設定を更新する場合は -c オプションを使用します。

sysmon -c config.xml

XML設定ファイルの基本と推奨テンプレート

include／excludeフィルターの考え方

SysmonのXML設定ファイルでは、記録したいイベント（include）と除外したいイベント（exclude）を定義します。「特定のプロセスからの通信のみ記録する」「信頼できる正規アプリの大量のログは除外する」といった設定が可能です。不要なログを除外（exclude）することで、システムへの負荷やストレージ容量を抑えることができます。

コミュニティ設定ファイルの紹介と使い分け

ゼロからXMLを作成するのは難しいため、コミュニティが公開している実績あるテンプレートを活用するのが定石です。

• SwiftOnSecurity版（GitHub）：高品質なデフォルト設定がまとまっており、ノイズを抑えつつ重要なイベントを捉えるバランス型。初心者や中小企業に最適です。詳細はSwiftOnSecurity/sysmon-config（GitHub）を参照してください。
• sysmon-modular版（Olaf Hartong氏作）：機能ごとにモジュール化されており、自社環境に合わせて細かくカスタマイズしたい上級者向けです。詳細はolafhartong/sysmon-modular（GitHub）を参照してください。

初心者向け最小構成XMLの例

最初は以下のMicrosoft公式推奨の最小構成から始めることをお勧めします。この構成では、プロセス作成・ネットワーク接続・ファイル作成の3つのイベントをすべて記録します（onmatch="exclude" でサブ要素を指定しないことで、除外なし＝全記録となります）。

<Sysmon schemaversion="4.90">
  <HashAlgorithms>SHA256</HashAlgorithms>
  <EventFiltering>
    <!-- プロセス作成をすべて記録 -->
    <ProcessCreate onmatch="exclude" />
    <!-- ネットワーク接続をすべて記録 -->
    <NetworkConnect onmatch="exclude" />
    <!-- ファイル作成をすべて記録 -->
    <FileCreate onmatch="exclude" />
  </EventFiltering>
</Sysmon>

イベントログの確認方法

イベントビューアーでの確認パス

Sysmonが記録したログは、Windows標準の「イベントビューアー」で確認できます。確認パスは以下の通りです。ビルトイン版では、イベントビューアーの表示テキストがOSの言語設定に応じてローカライズされます（スタンドアロン版との違い）。

「アプリケーションとサービスログ」 → 「Microsoft」 → 「Windows」 → 「Sysmon」 → 「Operational」

ログサイズの管理

Sysmonはデフォルトのログサイズ上限が小さいため、運用環境では上限の引き上げをお勧めします。以下のコマンドでログの最大サイズを変更できます（例：1GBに設定）。

wevtutil sl "Microsoft-Windows-Sysmon/Operational" /ms:1073741824

現在のログサイズ設定を確認する場合は以下を実行します。

wevtutil gl "Microsoft-Windows-Sysmon/Operational"

イベントビューアー上でも、該当ログを右クリック →「プロパティ」から最大ログサイズやログの上書き方法を設定できます。

PowerShellでのログ検索コマンド例

イベントビューアーでの手動確認は手間がかかるため、PowerShellを使うと効率的です。例えば、以下のコマンドでSysmonの最新イベントを取得できます。

Get-WinEvent -FilterHashtable @{LogName='Microsoft-Windows-Sysmon/Operational'} -MaxEvents 50

中小企業がSIEMなしでSysmonを活用する現実的アプローチ

高度なSIEM（Security Information and Event Management：セキュリティ情報を一元的に収集・分析する基盤）やEDR（Endpoint Detection and Response：エンドポイントでの脅威検知・対応ツール）を導入する予算がない中小企業でも、Sysmonを使えばセキュリティ監視を強化できます。ただし、Sysmonはあくまでログ記録ツールであり、ログの定期確認・分析体制の構築が活用の前提となります。中小企業のセキュリティ対策全般については、IPA（独立行政法人情報処理推進機構）の中小企業の情報セキュリティ対策ガイドラインも参考になります。

まず監視すべきイベントID TOP5

Sysmonは多数のイベントID（Windowsが個々のイベントを識別するための固有番号）を生成しますが、まずは以下のTOP5に絞って監視を始めましょう。

• Event ID 1：プロセス作成

  どのプログラムが、どんなコマンドライン引数で実行されたかを記録します。不審なスクリプトの実行などを検出できます。

• Event ID 3：ネットワーク接続

  どのプロセスが、どこ（外部IP・ポート）と通信したかを記録します。マルウェアの外部通信などを検出できます。

• Event ID 11：ファイル作成

  新しいファイルがどこに作成されたかを記録します。スタートアップへの登録やマルウェアのダウンロードを検出できます。

• Event ID 10：プロセスアクセス（LSASS保護）

  あるプロセスが他のプロセスへのハンドルアクセスを記録します。認証情報（LSASS）を盗む攻撃などの検出に有用です。

• Event ID 22：DNSクエリ

  PCがどのドメインの名前解決を行ったかを記録します。悪意のあるサイトへのアクセス試行を検出できます。

イベントビューアー＋PowerShellだけで始める簡易監視フロー

SIEMがなくても、PowerShellスクリプトを定期実行し、疑わしいイベント（例：一時フォルダでの実行ファイル作成）があった場合にIT管理者にアラートを通知する簡易監視フローを構築できます。日常的には、重要なPC（役員用やファイルサーバーなど）に絞って手動でログを収集・確認するだけでも効果的です。

# 例: Event ID 1 (プロセス作成) のログのみを抽出する
Get-WinEvent -FilterHashtable @{LogName='Microsoft-Windows-Sysmon/Operational'; Id=1}

スタンドアロン版からビルトイン版への移行チェックリスト

既存のSysinternals版を利用している企業向けの移行チェックリストです。

よくある質問（FAQ）