Microsoft hat den Systemaktivitätsmonitor Sysmon für die Linux-Plattform portiert. Zur Überwachung von Linux wird das eBPF-Subsystem verwendet, das es ermöglicht, Handler auf Kernel-Ebene auszuführen. Zusätzlich wird die SysinternalsEBPF-Bibliothek entwickelt, die Funktionen beinhaltet, die bei der Erstellung von BPF-Handlern zur Überwachung von Systemereignissen nützlich sind. Der Quellcode des Tools ist unter der MIT-Lizenz geöffnet, während die BPF-Programme unter der GPLv2-Lizenz stehen. Fertige RPM- und DEB-Pakete für gängige Linux-Distributionen sind im Repository packages.microsoft.com verfügbar.
Sysmon ermöglicht die Protokollierung detaillierter Informationen über die Erstellung und Beendigung von Prozessen, Netzverbindungen und Dateioperationen. Das Protokoll speichert nicht nur allgemeine Informationen, sondern auch solche, die für die Analyse sicherheitsrelevanter Vorfälle nützlich sind, wie z. B. der Name des übergeordneten Prozesses, Hashes des Inhalts ausführbarer Dateien, Informationen zu dynamischen Bibliotheken sowie Daten zu Erstellungs-, Zugriffs-, Änderungs- und Löschzeitpunkten von Dateien. Um das Volumen der protokollierten Daten zu begrenzen, können Filtereinstellungen vorgenommen werden. Das Protokoll kann über den integrierten Syslog gespeichert werden.
Quelle: opennet.ru
