מיקרוסופט העבירה את Sysmon ללינוקס והפכה אותו לקוד פתוח

מיקרוסופט העבירה את שירות ניטור הפעילות במערכת Sysmon לפלטפורמת לינוקס. כדי לפקח על פעולת לינוקס, נעשה שימוש בתת-מערכת eBPF, המאפשרת לך להפעיל מטפלים הפועלים ברמת ליבת מערכת ההפעלה. ספריית SysinternalsEBPF מפותחת בנפרד, כולל פונקציות שימושיות ליצירת מטפלי BPF לניטור אירועים במערכת. קוד ערכת הכלים פתוח תחת רישיון MIT, ותוכניות BPF נמצאות תחת רישיון GPLv2. מאגר packages.microsoft.com מכיל חבילות RPM ו-DEB מוכנות המתאימות להפצות לינוקס פופולריות.

Sysmon מאפשרת לך לנהל יומן עם מידע מפורט על יצירה וסיום של תהליכים, חיבורי רשת ומניפולציות של קבצים. היומן מאחסן לא רק מידע כללי, אלא גם מידע שימושי לניתוח אירועי אבטחה, כגון שם תהליך האב, גיבוב של תוכן קבצי הפעלה, מידע על ספריות דינמיות, מידע על זמן יצירה/גישה/שינוי/ מחיקת קבצים, נתונים על גישה ישירה לתהליכים לחסימת מכשירים. כדי להגביל את כמות הנתונים המוקלטים, ניתן להגדיר מסננים. ניתן לשמור את היומן באמצעות Syslog רגיל.

מקור: OpenNet.ru