Společnost Microsoft portovala na platformu Linux službu pro monitorování činnosti v systému Sysmon. Pro sledování činnosti Linuxu se používá podsystem eBPF, který umožňuje spouštět zpracovatele pracující na úrovni jádra operačního systému. Samostatně se vyvíjí knihovna SysinternalsEBPF, která zahrnuje funkce užitečné pro vytváření BPF zpracovatelů pro monitorování událostí v systému. Kód nástroje je dostupný pod licencí MIT, zatímco programy BPF jsou pod licencí GPLv2. V repozitáři packages.microsoft.com jsou umístěny hotové balíčky RPM a DEB vhodné pro populární distribuce Linuxu.
Sysmon umožňuje vést protokol se podrobnými informacemi o vytváření a ukončování procesů, síťových připojeních a manipulacích se soubory. V protokolu se uchovávají nejen obecné informace, ale i údaje užitečné pro analýzu souvisejících bezpečnostních incidentů, jako je jméno nadřazeného procesu, hash obsahu vykonávatelných souborů, informace o dynamických knihovnách, údaje o čase vytvoření/přístupu/změny/smazání souborů a data o přímém přístupu procesů k blokovým zařízením. Pro omezení objemu zapisovaných dat je k dispozici možnost nastavení filtrů. Protokol může být uchováván prostřednictvím standardního Syslog.
Zdroj: opennet.ru
