Microsoft har porteret overvågningstjenesten Sysmon til Linux-platformen. For at overvåge Linux anvendes eBPF-subsystemet, der muliggør lancering af håndtere, der kører på operativsystemets kernel niveau. Der udvikles desuden et bibliotek kaldet SysinternalsEBPF, som omfatter funktioner, der er nyttige til at oprette BPF-håndtere til overvågning af systembegivenheder. Værktøjets kode er åbnet under MIT-licensen, mens BPF-programmerne er under GPLv2-licensen. Klare RPM- og DEB-pakker, der passer til populære Linux-distributioner, findes i repository'et packages.microsoft.com.
Sysmon gør det muligt at føre log med detaljeret information om oprettelse og afslutning af processer, netværksforbindelser og filmanipulationer. Loggen gemmer ikke kun generel information, men også oplysninger, der er nyttige til at analysere sikkerhedsrelaterede hændelser, såsom navnet på overordnede processer, hashes af indholdet af eksekverbare filer, information om dynamiske biblioteker, oplysninger om tidspunkter for oprettelse/adgang/ændring/sletning af filer og data om direkte adgang til blokenheder af processer. For at begrænse mængden af registrerede data er det muligt at konfigurere filtre. Loggen kan gemmes gennem standard Syslog.
Kilde: opennet.ru
