L'azienda Microsoft ha portato sulla piattaforma Linux il servizio di monitoraggio dell'attività di sistema Sysmon. Per monitorare il funzionamento di Linux, viene utilizzato il sottosistema eBPF, che consente di eseguire gestori a livello del kernel del sistema operativo. È in fase di sviluppo anche la libreria SysinternalsEBPF, che include funzioni utili per la creazione di gestori BPF per il monitoraggio degli eventi di sistema. Il codice degli strumenti è rilasciato sotto licenza MIT, mentre i programmi BPF sono sotto licenza GPLv2. Nei repository packages.microsoft.com sono disponibili pacchetti RPM e DEB pronti all'uso, adatti per le distribuzioni Linux più popolari.
Sysmon permette di mantenere un registro con informazioni dettagliate sulla creazione e la terminazione dei processi, le connessioni di rete e le manipolazioni dei file. Nel registro vengono salvate non solo informazioni generali, ma anche dati utili per l'analisi di incidenti di sicurezza, come il nome del processo padre, gli hash del contenuto dei file eseguibili, informazioni sulle librerie dinamiche, dettagli sui tempi di creazione/accesso/modifica/cancellazione dei file e dati sull'accesso diretto dei processi ai dispositivi a blocchi. Per limitare il volume dei dati registrati, è possibile impostare dei filtri. Il registro può essere salvato tramite il normale Syslog.
Fonte: opennet.ru
