「整合 Windows Sysmon（System Monitor）提供高階端點稽核與行為遙測（Endpoint Telemetry）」

1.設定 Wazuh Agent 收集 Sysmon 專屬事件日誌
<ossec_config>

Microsoft-Windows-Sysmon/Operational
<log_format>eventchannel</log_format>

</ossec_config>

2.在 Wazuh Dashboard 檢視 Sysmon 遙測數據
前往 Wazuh Dashboard 的 Security events，過濾與 Sysmon 相關的 Rule 或 Event ID：

Event ID 1：行程建立（Process Creation）——可用於追蹤誰執行了 PowerShell 或惡意腳本。

Event ID 3：網路連線（Network Connection）——掌握行程對外的連線行為。

Event ID 11：檔案建立（File Create）——搭配 FIM 強化檔案追蹤。