Число типов зависит от версии Sysmon. В документации, проверенной в сентябре 2026 года, перечислены ID 1–29 и служебный 255: 30 идентификаторов, а не 255 последовательных типов и не неизменные 25. В установленной системе сверяют версию и схему; наличие типа в документации не означает, что его сбор включён.
Сколько типов Event ID есть в Sysmon и как проверить их назначение?
Количество зависит от версии. Почему ответ «25 событий» устарел и как не перепутать создание процесса, изменение времени файла и состояние службы.
Короткий ответ
Что ответить на собеседовании
Подробный разбор
Ответ с пояснениями
Нельзя отвечать «всегда 25»: набор расширяется. На момент проверки в сентябре 2026 года документированы 1–29 и 255, то есть 30 идентификаторов. Для конкретной установки проверяют её версию, схему и конфигурацию.
Несколько ориентиров из описания событий Microsoft:
| ID | Событие |
|---|---|
| 1 | Создание процесса |
| 2 | Изменение времени создания файла |
| 3 | Сетевое соединение |
| 4 | Изменение состояния службы Sysmon |
| 5 | Завершение процесса |
| 6 | Загрузка драйвера |
| 7 | Загрузка образа |
| 8 | Создание потока в другом процессе |
| 10 | Доступ к процессу |
| 11 | Создание или перезапись файла |
| 12–14 | Операции с реестром |
| 22 | DNS-запрос |
| 255 | Внутренняя ошибка Sysmon |
Это выборка для запоминания, не весь каталог. В частности, ID 2 не означает создание потока, а ID 4 — создание файла.
Для расследования важно не только знать номер, но и убедиться, что событие собирается и доходит до хранилища. Правила фильтрации могут исключать нужные данные, а одинаковый числовой ID у другого провайдера Windows обозначает совсем другое событие.