关于Sysmon与Windows事件查看器日志采集及ETW关联的技术疑问

1. Sysmon是否能采集比Windows事件查看器更多的日志？ #

是的，Sysmon确实能采集到大量Windows默认事件日志未覆盖或记录简略的内容，核心原因在于：

• 原生监控粒度更细：默认配置下，Sysmon就会记录进程创建的完整命令行、父进程ID/路径、网络连接的全量细节（含UDP）、文件创建的哈希值、注册表修改的具体键值对，这些信息在Windows自带的Security或System日志里要么没有，要么只保留极简数据。
• 可自定义扩展采集范围：通过编辑Sysmon配置文件，你可以添加规则监控特定行为，比如文件删除、WMI查询活动、驱动加载、进程注入等，这些都是系统默认日志不会主动记录的场景。
• 独立日志存储：Sysmon的日志单独存放在Microsoft-Windows-Sysmon/Operational日志组，不会和系统默认日志共享存储配额，也能降低被恶意软件篡改系统日志时波及的概率。

2. Windows事件查看器是否基于ETW采集日志？ #

不是，Windows事件查看器只是一个日志展示聚合工具，它所呈现的日志来源分为两类：

• 部分日志来自ETW（Event Tracing for Windows）：比如PowerShell操作日志、WMI活动日志、Sysmon日志等，都是通过ETW机制生成并被事件查看器读取展示的。
• 另一部分来自传统Windows Event Log机制：比如早期的Security、System日志，采用的是更老的事件日志架构，并非基于ETW。

简单来说，事件查看器本身不负责采集日志，它只是把不同来源（包括ETW和传统日志）的日志统一展示出来。

内容的提问来源于stack exchange，提问作者explorer