A Microsoft áthelyezte a Sysmon rendszeraktivitás-figyelő szolgáltatást Linuxra. A Linux működésének nyomon követésére az eBPF alrendszert használják, amely lehetővé teszi a kernel szintjén futó kezelők elindítását. Külön fejlesztés alatt áll a SysinternalsEBPF könyvtár, amely olyan funkciókat tartalmaz, amelyek hasznosak a BPF-kezelők készítéséhez az események nyomon követésére a rendszerben. Az eszközkészlet kódja MIT licenc alatt nyilvános, míg a BPF programok GPLv2 alatt állnak. A packages.microsoft.com tárolóban népszerű Linux disztribúciókhoz megfelelő RPM és DEB csomagok találhatók.
A Sysmon lehetővé teszi a naplózás részletes információkkal a folyamatok létrehozásáról és befejezéséről, a hálózati kapcsolatokkal és a fájlok manipulálásával kapcsolatban. A naplóban nemcsak általános adatok, hanem olyan információk is megtalálhatók, amelyek hasznosak a biztonsággal kapcsolatos események elemzéséhez, mint például a szülői folyamat neve, az végrehajtható fájlok tartalmáról készült hash, a dinamikus könyvtárak adatai, a fájlok létrehozásának / megnyitásának / módosításának / törlésének időpontjai, és az adatok a folyamatok közvetlen hozzáféréséről a blokkeszközökhöz. Az írott adatok mennyiségének korlátozása érdekében szűrők beállításának lehetősége áll rendelkezésre. A napló az alapértelmezett Syslog-on keresztül is menthető.
Forrás: opennet.ru
