**Windows 11 26H2: Sysmon теперь в коробке, wmic окончательно выпилили**
**Windows 11 26H2: Sysmon теперь в коробке, wmic окончательно выпилили** В сборке 26300.9550 принципиально новой «команды» нет. Но для админа есть два жирных изменения: встроенный Sysmon (по умолчанию выключен) и окончательное удаление wmic. Плюс появилась Administrator protection. Что нового по командам: | Команда | Назначение | |---|---| | `Enable-WindowsOptionalFeature -Online -FeatureName Sysmon` | Устанавливает встроенный компонент Sysmon | | `sysmon -i` | Устанавливает и запускает с конфигом по умолчанию | | `sysmon -i C:\Sysmon\sysmonconfig.xml` | Установка с пользовательским XML-конфигом | | `sysmon -c C:\Sysmon\sysmonconfig.xml` | Обновление конфигурации работающего Sysmon | | `sysmon -s` | Выводит схему событий | | `sysmon -m` | Устанавливает event manifest | | `sysmon -u [force]` | Удаляет Sysmon | | `Get-Service sysmon*` | Проверка, установлен ли и запущен ли сервис | Быстрая проверка: ```powershell Get-Service sysmon* Enable-WindowsOptionalFeature -Online -FeatureName Sysmon sysmon -i Get-WinEvent -LogName 'Microsoft-Windows-Sysmon/Operational' -MaxEvents 20 ``` События Sysmon пишутся в журнал `Microsoft-Windows-Sysmon/Operational`. Оттуда можно детектить создание процессов, сетевые подключения, изменения реестра и прочие признаки компрометации. Сборка 26300.9550 — это предварительное обновление KB5124010 от 22 сентября 2026. В нём починили ошибки Sysmon: некорректную обработку повреждённых исполняемых файлов, проблему драйвера файловой системы и ложные срабатывания Event ID 25 для `smss.exe`. Также в 26H2 появилась **Administrator protection**: права администратора выдаются по требованию, а не постоянно. Включается через Intune или групповые политики, по умолчанию отключена. И главное для скриптов: `wmic` удалён начиная с Windows 11 24H2, а в 26H2 недоступен даже как Feature on Demand. WMI остался, но старые скрипты пора переводить на PowerShell CIM: ```powershell Get-CimInstance -ClassName Win32_OperatingSystem Get-CimInstance -ClassName Win32_Process ``` 🛠 Мнение DevGeek.IT: Sysmon в коробке — это подарок для blue team, но не расслабляйтесь: его ещё надо настроить, иначе получите шум вместо детекта. `wmic` наконец умер — если у вас где-то в проде остались старые скрипты, вы уже опоздали. Administrator protection штука правильная, но по умолчанию выключена, так что без GPO/Intune это просто строчка в релиз-нотах.