产品简介
SysmonTools 是一款开源桌面应用，专为安全专业人员设计，用于分析、可视化和管理 Windows Sysmon 日志。它提供交互式会话图、事件过滤和 GeoIP 地图等功能，帮助快速定位安全威胁，适合系统管理员、数字取证专家和威胁猎人使用。
核心功能
- 交互式会话图，支持节点移动和可折叠
- 事件类型过滤，专注分析特定事件
- VirusTotal 报告链接，快速查询哈希和 IP 地址
- GeoIP 地图视图，可视化网络目的地地理分布
- 跨平台支持，适用于 Windows、macOS 和 Linux
快速开始
- 从 GitHub Releases 页面下载 Sysmon View 安装程序或便携版。
- 使用命令 WEVTUtil query-events "Microsoft-Windows-Sysmon/Operational" /format:xml /e:sysmonview > eventlog.xml 导出 Sysmon 日志。
- 启动 Sysmon View，通过“文件 > 导入 XML 日志”选择导出的 XML 文件。
- 在 Process View、Map View 或 All Events 中分析导入的数据。
界面预览
与其他方案对比
| 对比项 | SysmonTools | 同类方案 |
|---|---|---|
| 可视化功能 | 提供交互式会话图和 GeoIP 地图，支持节点操作和事件过滤。 | 传统日志分析工具可能仅提供表格或简单图表，缺乏交互式可视化。 |
| 跨平台支持 | 支持 Windows、macOS 和 Linux，基于 Electron 框架。 | 同类工具可能仅限于 Windows 平台。 |
适合谁用
- 需要分析 Windows 安全事件日志的系统管理员
- 进行数字取证和事件响应的安全分析师
- 追踪高级持续威胁的威胁猎人
- 需要可视化网络攻击路径的安全团队成员
下载与版本
当前最新版本为 v2.2.1，发布于 2026-04-04。支持 Windows、macOS、Linux。点击页面「下载软件」按钮即可下载打包好的版本，根据你的电脑/手机系统来选择对应的软件。
注意事项
- 本工具仅供学习和研究使用，请遵守相关法律法规。
- 请尊重内容创作者版权，勿将下载内容用于商业或非法传播。
- 项目源码地址：https://github.com/nshalabi/SysmonTools