Microsoft tõi Linuxi platvormile süsteemi aktiivsuse jälgimise teenuse Sysmon. Linuxi töö jälgimiseks kasutatakse eBPF alamsüsteemi, mis võimaldab käivitada töötlejaid, mis töötavad operatsioonisüsteemi tuumas. Eraldi areneb SysinternalsEBPF raamatukogu, mis sisaldab funktsioone, mis on kasulikud BPF-töötlejate loomiseks, et jälgida süsteemi sündmusi. Tööriistakoodi avatud litsents on MIT, BPF-programmide oma aga GPLv2. Pakettide ready to use RPM ja DEB on saadaval repository's packages.microsoft.com, mis sobivad populaarsete Linuxi distributsioonide jaoks.
Sysmon võimaldab pidada logi detailse teabega protsesside loomisest ja lõpetamisest, võrguühendustest ja failimanipulatsioonidest. Logis salvestatakse lisaks üldistele andmetele ka teave, mis on kasulik turvaincidentide analüüsimiseks, nagu näiteks vanema protsessi nimi, täidetavate failide sisu hashid, teave dünaamiliste teekide kohta, failide loomise/juurdepääsu/muutmise/kustutamise ajad ning protsesside otsese juurdepääsu andmed plokkseadmetele. Salvestatavate andmete mahtu on võimalik piirata filtrite seadistamisega. Logi saab salvestada läbi tavapärase Syslogi.
Allikas: opennet.ru
