Sysmon llega a Windows 11, y eso cambia mucho

Microsoft ha integrado finalmente Sysmon en Windows 11, ofreciendo a usuarios y administradores una manera mucho mejor de ver lo que un PC hace realmente entre bastidores. Eso importa porque Windows hace mucho tiempo que es bueno para decirte que algo ocurrió, y mucho peor para decirte qué hizo un proceso después de iniciarse.

La nueva configuración convierte un favorito de Sysinternals de larga data en una función integrada, lo que debería eliminar la principal razón por la que mucha gente nunca se molestó en usarla: otra herramienta que instalar, actualizar y vigilar. En otras palabras, Microsoft ha cerrado discretamente un hueco en el registro que los usuarios avanzados han estado esquivando durante años.

Qué registra Sysmon en Windows 11

Sysmon no es un panel llamativo. Es un registrador en segundo plano que graba el tipo de actividad de bajo nivel que el Visor de eventos suele ocultar en entradas genéricas y poco sugerentes. Eso incluye la creación de procesos con el contexto completo de la línea de comandos, conexiones de red vinculadas a aplicaciones específicas, cambios de archivos en lugares sensibles y un proceso intentando acceder a otro.

Eso lo hace útil precisamente en los momentos en que Windows es menos útil: cuando un programa se comporta de forma extraña, algo se instala sin pedir permiso o una conexión parece sospechosa. La diferencia es que Sysmon te da un rastro con marcas de tiempo en vez de un encogimiento de hombros.

Una vez habilitado, los registros se encuentran en el Visor de eventos bajo Microsoft -> Windows -> Sysmon -> Operativo, y también puedes consultarlos desde PowerShell con Get-WinEvent. Eso es muy Microsoft: nada de interfaz llamativa, solo un montón de pruebas si sabes dónde buscar.

Recomendado

Codex Micro de OpenAI es un macropad para programar de $230

Cómo activar Sysmon en Windows 11

Según el despliegue de Microsoft, Sysmon llegó en la actualización de marzo de 2026 para Windows Home, Pro y Enterprise. Activarlo es sencillo: ve a Configuración > Sistema > Funciones opcionales > Más características de Windows, marca la casilla Sysmon y haz clic en Aceptar. Después de eso, abre una ventana de PowerShell con privilegios elevados y ejecuta sysmon -i para finalizar la configuración.

Si ya estabas usando la versión independiente de Sysinternals, desinstálala primero. Ejecutar ambas al mismo tiempo causará conflictos, que es precisamente el tipo de lío evitable que las funciones integradas deberían eliminar.

Microsoft también dice que Sysmon puede usar archivos de configuración XML, incluidas plantillas comunitarias como la configuración ampliamente usada de SwiftOnSecurity o un fork de la misma. Esa es la forma inteligente de empezar, porque un registro por defecto o demasiado amplio puede ahogarte en datos rápidamente.

• Creación de procesos con el contexto completo de la línea de comandos
• Conexiones de red vinculadas a programas específicos
• Creación y modificación de archivos en ubicaciones sensibles
• Intentos de acceso entre procesos

El avance de IA de Microsoft es la parte a vigilar

La compañía también mostró una función de detección de amenazas potenciada por IA que usaría los registros de Sysmon para marcar comportamientos sospechosos de forma local, sin enviar datos a la nube. Eso suena bien en el papel, pero Microsoft no se ha ganado exactamente la confianza ciega en su acabado de IA, y las herramientas de seguridad son el último lugar donde quieres decisiones imprecisas sin controles claros.

Sysmon siempre ha sido atractivo porque hace una cosa y la hace de forma predecible. Si Microsoft añade una capa de IA, los usuarios necesitarán documentación, capacidad de auditoría y un interruptor para apagarla; de lo contrario, la herramienta corre el riesgo de volverse más ruidosa que inteligente.

La historia más importante es que Microsoft finalmente ha incluido una función que los usuarios avanzados han querido en Windows durante años. Sysmon se lanzó en 2014, y ahora está integrado en Windows 11 en lugar de estar al margen como una herramienta especializada que la mayoría de la gente decía que instalaría algún día.

El siguiente paso probable es obvio: más usuarios lo activarán y más administradores lo usarán como primera parada para depurar y para el triaje de incidentes. La pregunta abierta es si Microsoft mantendrá la experiencia práctica o la enterrará bajo ese tipo de adorno de IA que impresiona en una demostración y resulta irritante en la vida real.