La livraison de Sysmon dans Windows 11 par défaut a comblé une lacune de longue date : le système d’exploitation écrit désormais des enregistrements d’événements structurés pour la création de processus, les connexions réseau, les modifications de registre, les changements du système de fichiers et les chargements de DLL sans aucune installation tierce. Le Gestionnaire des tâches n’est pas la réponse à “que fait mon ordinateur” depuis une décennie, mais l’intégration de Sysmon change la ligne de base pour tout le monde, pas seulement pour les équipes de sécurité. Nous avons reconstruit une étagère d’outils quotidiens d’administrateur système sous Windows 11 et classé les sept applications d’analyse des journaux d’événements qui méritent d’être conservées, en évaluant ce que chacune révèle que l’Observateur d’événements seul manque.
La liste combine les utilitaires Sysinternals maintenus par Microsoft (gratuits, sans installation requise), un outil intégré repensé et trois agents de transfert d’événements qui prennent les journaux bruts et les envoient quelque part d’interrogeable.
Quoi chercher dans une application d'analyse des journaux d'événements Windows
La catégorie semble uniforme jusqu’à ce que vous tentiez vraiment d’enquêter sur un incident. Cinq critères distinguent les choix ci-dessous d’un carnet rempli de logiciels gratuits inutilisés :
- Profondeur de capture. Arborescence des processus, ligne de commande, PID parent, hachis de fichiers, point de terminaison réseau. Plus la capture est profonde, moins vous devez recréer le scénario.
- Capacité de filtrage. Les systèmes réels génèrent 50 000 événements par heure. L’application a besoin d’un langage de filtre qui survit à une charge de travail réelle, pas seulement une zone de recherche.
- En direct vs. historique. Certains outils se trouvent en direct sur le système et en flux. D’autres lisent les fichiers .evtx après coup. La plupart des enquêtes ont besoin des deux.
- Transfert. Les journaux ne comptent que lorsqu’ils quittent la machine. Le transfert vers un SIEM ou un magasin auto-hébergé doit être une configuration, pas un script personnalisé.
- Coût de performance. La capture d’événements à des niveaux profonds peut épingler un cœur de CPU. Les bons outils vous permettent d’ajuster le plancher de bruit sans recompiler.
Comparaison rapide
| App | Best for | Bundle | Free | Live capture |
|---|---|---|---|---|
| Sysinternals Sysmon | Deep, structured event records | Bundled in Windows 11 | Yes | Yes |
| Sysinternals Process Monitor | Real-time file, registry, network | Sysinternals Suite | Yes | Yes |
| Sysinternals Process Explorer | Process tree drill-down | Sysinternals Suite | Yes | Yes |
| Windows Event Viewer | Built-in baseline | Windows | Yes | Live and historical |
| NXLog Community Edition | Free log forwarding | Standalone | Yes | Yes |
| Snare Open Source Agent | Event log forwarding to Syslog | Standalone | Yes | Yes |
| EventSentry Light | Free SIEM-lite for small networks | Standalone | Free tier | Yes |
Les 7 meilleures applications d'analyse des journaux d'événements Windows
1. Sysinternals Sysmon, meilleur pour les enregistrements d'événements structurés profonds
Sysinternals Sysmon s’exécute en tant que service Windows et écrit des enregistrements d’événements détaillés sur le canal Microsoft-Windows-Sysmon/Operational. Les enregistrements incluent la ligne de commande complète, le processus parent, le hachis d’image, les DLL chargées, les connexions réseau avec destination et la création de canaux nommés. Le fichier de configuration XML est la fonctionnalité clé : une configuration sélectionnée (la configuration de référence SwiftOnSecurity est la norme de la communauté) réduit le bruit aux événements qui comptent vraiment sur un serveur ou une station de travail. Avec Sysmon désormais intégré à Windows 11, l’étape d’installation disparaît pour les nouvelles machines.
Où il échoue : La configuration est tout le produit. Une mauvaise configuration rend Sysmon inutile ou inonde le canal. La version intégrée dans Windows peut être en retard sur le téléchargement autonome d’une version.
Tarification :
- Gratuit : oui
- Payant : non
Plates-formes : Windows 11 (intégré), Windows 10, Windows Server
Télécharger : learn.microsoft.com/sysinternals/downloads/sysmon
Conclusion : Le choix par défaut pour quiconque enquête sur ce qu’une machine Windows a vraiment fait. Associez-le avec une configuration maintenue comme celle de SwiftOnSecurity.
2. Sysinternals Process Monitor, meilleur traçage de fichiers et registre en temps réel
Sysinternals Process Monitor (Procmon) est l’outil de traçage en direct que vous exécutez quand un programme fait quelque chose que vous ne pouvez pas expliquer. Il capture chaque appel système de fichiers, accès au registre, point de terminaison réseau et événement de processus avec des horodatages sub-milliseconde, puis vous permet de filtrer le flux résultant par processus, chemin, opération ou résultat. La vue “arborescence des processus” affiche les relations parent-enfant lors du traçage, et la vue “pile” affiche le site d’appel qui a effectué l’appel. Enregistrer une trace au format PML permet à un collègue de l’ouvrir sur une autre machine et de commencer à filtrer immédiatement.
Où il échoue : Procmon capture agressivement, ce qui remplit le disque et ralentit la machine s’il s’exécute pendant des heures. Le filtrage est intuitif mais nécessite de la pratique.
Tarification :
- Gratuit : oui
- Payant : non
Plates-formes : Windows 11, Windows 10, Windows Server
Télécharger : learn.microsoft.com/sysinternals/downloads/procmon
Conclusion : L’outil auquel vous recourez quand “Sysmon montre le lancement mais je ne comprends pas pourquoi la prochaine chose s’est produite”. Exécutez-le brièvement, filtrez, enregistrez, quittez.
3. Sysinternals Process Explorer, meilleur pour l'exploration en profondeur de l'arborescence des processus
Sysinternals Process Explorer est le remplacement du Gestionnaire des tâches qui a été livré dans Sysinternals Suite pendant plus de vingt ans. La vue arborescence des processus affiche la chaîne parent-enfant que le Gestionnaire des tâches masque, les barres E/S et réseau par processus affichent ce qui sature vraiment une machine occupée, et la recherche “Rechercher un identifiant ou une DLL” est le moyen standard d’apprendre quel processus détient un fichier ouvert que vous ne pouvez pas supprimer. La recherche VirusTotal signée sur les hachis signale les binaires inconnus sans quitter l’application.
Où il échoue : La densité visuelle nécessite une acclimatation. Certaines opérations d’administrateur système (terminer les processus protégés) nécessitent toujours une élévation des droits.
Tarification :
- Gratuit : oui
- Payant : non
Plates-formes : Windows 11, Windows 10, Windows Server
Télécharger : learn.microsoft.com/sysinternals/downloads/process-explorer
Conclusion : La mise à jour gratuite du Gestionnaire des tâches qui devrait être sur chaque machine d’administrateur Windows. Configurez-le pour remplacer le Gestionnaire des tâches et oubliez que vous avez changé.
4. Windows Event Viewer, meilleur pour la ligne de base intégrée
Windows Event Viewer est l’application intégrée dans laquelle tous les autres outils de cette liste lisent ou écrivent. La fonction Affichages personnalisés vous permet d’épingler des requêtes par ID d’événement, source ou XPath, et la fonction Abonnements extrait les événements des machines distantes dans un canal de collecteur local sans payer pour un SIEM. L’intégration d’application Paramètres repensée dans les mises à jour récentes de Windows 11 affiche les requêtes courantes (plantages récents, événements d’installation d’application) sans avoir besoin de mémoriser les noms des canaux.
Où il échoue : L’interface utilisateur est toujours la même console MMC depuis Windows Vista au cœur, et les filtres XPath complexes nécessitent une édition en XML. L’enregistrement d’une requête se fait par machine, sans exportation.
Tarification :
- Gratuit : oui
- Payant : non
Plates-formes : Windows 11, Windows 10, Windows Server
Télécharger : Déjà installé ; tapez “Observateur d’événements” dans le menu Démarrer
Conclusion : Le premier endroit à chercher pour n’importe quel événement. Une fois qu’une requête devient répétitive, placez-la dans l’un des outils dédiés ci-dessous.
5. NXLog Community Edition, meilleur pour le transfert de journaux gratuit
NXLog Community Edition est le cœur ouvert gratuit de la pile de gestion des journaux de NXLog. Il lit les journaux d’événements Windows (y compris Sysmon), syslog Linux, fichiers plats et sources d’applications personnalisées, puis transfère vers syslog, fichier, Kafka, Elasticsearch ou n’importe quel point de terminaison HTTP. Le langage de configuration est simple et bien documenté, et les binaires CE couvrent Windows, Linux et plusieurs BSD. Les communautés normalisent NXLog CE comme agent de choix lors de l’envoi d’événements Windows vers un Elastic ou un SIEM auto-hébergé.
Où il échoue : Certains modules de sortie avancés (S3, Azure Sentinel directement) sont réservés au niveau Enterprise. Le programme d’installation Windows CE est sparse en documentation pour les nouveaux utilisateurs.
Tarification :
- Gratuit : oui pour Community Edition
- Payant : Tarification Enterprise sur demande
Plates-formes : Windows, Linux, BSD
Télécharger : nxlog.co/products/nxlog-community-edition
Conclusion : L’agent par défaut quand l’objectif est “envoyer les événements Windows quelque part d’interrogeable sans frais SIEM par événement.”
6. Snare Open Source Agent, meilleur pour le transfert Windows vers Syslog
Snare Open Source Agent est l’agent Windows de longue date qui convertit les enregistrements du journal des événements en messages Syslog pour le transfert à un collecteur distant. L’avantage par rapport à NXLog est la simplicité : l’agent fait une chose, l’interface utilisateur de configuration est une seule boîte de dialogue, et la sortie est le format que tous les SIEM savent déjà comment analyser. Snare Open Source couvre la plupart des installations ; la version Enterprise ajoute TLS, le filtrage dynamique et l’intégration AD.
Où il échoue : Moins flexible que NXLog si vous voulez lire des sources non-Windows ou transformer les messages. La documentation penche vers la SKU Enterprise.
Tarification :
- Gratuit : oui pour l’agent Open Source
- Payant : Tarification Enterprise sur demande
Plates-formes : Windows
Télécharger : github.com/snareopensource/SnareAgent
Conclusion : Le choix quand le collecteur cible parle Syslog et l’objectif est le chemin le plus court de EVTX à ce collecteur.
7. EventSentry Light, meilleur SIEM-lite gratuit pour les petits réseaux
EventSentry Light est le niveau gratuit du produit EventSentry, conçu pour mettre la plupart des fonctionnalités de surveillance à la portée des petits réseaux. Il regroupe la surveillance des journaux d’événements en temps réel, les vérifications d’intégrité des fichiers, les compteurs de performance et un tableau de bord Web dans un seul installateur, avec un plafond gratuit sur le nombre de machines surveillées. Pour un homelab ou un bureau avec un seul serveur, il couvre les cas d’utilisation pour lesquels un SIEM plus lourd serait nécessaire, avec une fraction du temps de configuration.
Où il échoue : Le niveau gratuit limite le nombre de points de terminaison que vous pouvez surveiller. La surface complète des fonctionnalités (rapports de conformité, alertes avancées) est réservée au niveau payant.
Tarification :
- Gratuit : EventSentry Light, plafond de point de terminaison surveillé s’applique
- Payant : EventSentry Full et Premium tiers, au prix par point de terminaison
Plates-formes : Collecteur de serveur Windows, agents pour Windows, Linux et appareils SNMP
Télécharger : eventsentry.com/light
Conclusion : Le juste milieu entre “Observateur d’événements plus Excel” et “acheter un SIEM”. Dimensionné correctement pour un petit bureau ou un homelab sérieux.
Comment choisir le bon
- Commencez avec Windows Event Viewer car il est déjà installé. Épinglez une vue personnalisée pour le canal qui vous intéresse.
- Ajoutez Sysinternals Sysmon à chaque machine que vous administrez. Associez-le à une configuration de référence maintenue pour que le plancher de bruit reste gérable.
- Gardez Process Monitor et Process Explorer dans votre dossier d’outils. Ce sont la bonne réponse quand “Sysmon dit que X s’est produit, mais pourquoi” apparaît.
- Choisissez NXLog Community Edition si l’étape suivante consiste à envoyer des événements à un magasin Elastic ou auto-hébergé.
- Choisissez Snare Open Source Agent si le collecteur veut Syslog et que vous voulez une boîte de dialogue de configuration, pas un langage de configuration.
- Choisissez EventSentry Light si vous voulez un petit tableau de bord, des alertes et une surveillance de l’intégrité des fichiers sans payer le prix d’entreprise.
FAQ
Sysmon est-il vraiment intégré dans Windows 11 maintenant ?
Les canaux de mise à jour récents de Windows 11 incluent Sysmon en tant que binaire fourni, aucun téléchargement séparé requis. La configuration reste la responsabilité de l’administrateur ; sans configuration, Sysmon écrit des événements minimaux. Associez le binaire fourni avec une configuration de référence maintenue pour obtenir la valeur.
Ai-je besoin d’un SIEM pour utiliser Sysmon ?
Non. Sysmon écrit au journal des événements Windows comme n’importe quelle autre source, et l’Observateur d’événements seul suffit pour lire les enregistrements sur une seule machine. Un SIEM ou un agent de transfert comme NXLog devient utile lorsque vous avez plus que quelques machines et que vous voulez interroger l’ensemble.
Quelle est la différence entre Process Explorer et Process Monitor ?
Process Explorer est un remplacement du Gestionnaire des tâches qui affiche l’état du processus en direct, l’arborescence parent-enfant et l’utilisation des ressources par processus. Process Monitor est un outil de traçage qui enregistre chaque opération de fichier, de registre et de réseau lors d’une fenêtre de traçage. Utilisez Process Explorer pour “ce qui s’exécute” ; utilisez Process Monitor pour “ce qu’il fait en ce moment.”
Sysmon fait-il partie de Microsoft Defender for Endpoint ?
Microsoft Defender for Endpoint utilise de nombreux mêmes signaux sous-jacents, mais c’est un produit payant distinct. Sysmon est un outil gratuit de l’équipe Sysinternals que n’importe quel administrateur peut déployer sur n’importe quelle machine Windows sans abonnement à Defender for Endpoint.
Puis-je transférer les journaux d’événements Windows vers un SIEM Linux ?
Oui. NXLog Community Edition, Snare Open Source et l’agent Winlogbeat officiel de Microsoft transfèrent les événements Windows sous forme de Syslog ou JSON à un collecteur Linux. La plupart des installations ELK et Graylog acceptent ce format directement.
