Die Microsoft Corporation hat den Aktivitätsüberwachungsdienst Sysmon auf die Linux-Plattform portiert. Zur Überwachung der Aktivitäten in Linux wird das eBPF-Subsystem verwendet, das es ermöglicht, Handler auf Betriebssystemkern-Ebene auszuführen. Separat wird die SysinternalsEBPF-Bibliothek entwickelt, die Funktionen enthält, die nützlich sind, um BPF-Handler zum Überwachen von Ereignissen im System zu erstellen. Der Tool-Code ist unter der MIT-Lizenz lizenziert, während die BPF-Programme unter der GPLv2-Lizenz stehen. Fertige RPM- und DEB-Pakete, die für gängige Linux-Distributionen geeignet sind, sind im Repository packages.microsoft.com verfügbar.
Sysmon ermöglicht das Führen eines Protokolls mit detaillierten Informationen über die Erstellung und Beendigung von Prozessen, Netzwerkverbindungen und Dateimanipulationen. Im Protokoll werden nicht nur allgemeine Informationen gespeichert, sondern auch Details, die nützlich sind, um sicherheitsrelevante Vorfälle zu analysieren, wie den Namen des übergeordneten Prozesses, Hashes von ausführbaren Dateien, Informationen über dynamische Bibliotheken sowie Daten zu den Erstellungs-, Zugriffs-, Änderungs- und Löschzeiten von Dateien und den direkten Zugriff von Prozessen auf Blockgeräte. Zur Begrenzung des Umfangs der erfassten Daten kann eine Filterkonfiguration vorgenommen werden. Das Protokoll kann über das Standard-Syslog gespeichert werden.
Quelle: opennet.ru
