Компания Microsoft пренесе системния мониторинг на Sysmon на платформата Linux. За следене на работата на Linux се използва подсистемата eBPF, която позволява изпълнение на обработчици на ниво ядро на операционната система. Отделно се развива библиотеката SysinternalsEBPF, която включва функции, полезни за създаване на BPF-обработчици за мониторинг на събития в системата. Кодът на инструмента е отворен под лицензия MIT, а BPF-програмите под GPLv2. В репозиторий packages.microsoft.com са налични готови RPM и DEB пакети, подходящи за популярни дистрибуции на Linux.
Sysmon позволява поддържане на лог с подробна информация за създаването и завършването на процеси, мрежови връзки и манипулации с файлове. В лог файла се съхраняват не само общи данни, но и информация, полезна за анализ на инциденти, свързани с безопасността, като име на родителския процес, хешове от съдържанието на изпълними файлове, информация за динамични библиотеки, данни за времето на създаване/достъп/промяна/изтриване на файлове, информация за директен достъп на процесите до блокови устройства. За ограничаване на обема на записаните данни е предоставена възможност за настройка на филтри. Логът може да се запазва чрез стандартния Syslog.
Източник: opennet.ru
