Microsoft는 Sysmon을 Linux로 포팅하여 오픈 소스로 만들었습니다.

Microsoft는 Sysmon 시스템의 활동 모니터링 서비스를 Linux 플랫폼으로 이식했습니다. Linux의 작동을 모니터링하기 위해 운영 체제 커널 수준에서 실행되는 핸들러를 시작할 수 있는 eBPF 하위 시스템이 사용됩니다. SysinternalsEBPF 라이브러리는 시스템의 이벤트를 모니터링하기 위한 BPF 핸들러를 생성하는 데 유용한 기능을 포함하여 별도로 개발되고 있습니다. 툴킷 코드는 MIT 라이선스에 따라 공개되며 BPF 프로그램은 GPLv2 라이선스에 따라 제공됩니다. packages.microsoft.com 리포지토리에는 널리 사용되는 Linux 배포판에 적합한 이미 만들어진 RPM 및 DEB 패키지가 포함되어 있습니다.

Sysmon을 사용하면 프로세스 생성 및 종료, 네트워크 연결 및 파일 조작에 대한 자세한 정보가 포함된 로그를 유지할 수 있습니다. 로그에는 일반 정보뿐만 아니라 상위 프로세스 이름, 실행 파일 내용의 해시, 동적 라이브러리 정보, 생성/접속/변경/변경 시간 정보 등 보안 사고 분석에 유용한 정보가 저장됩니다. 파일 삭제, 블록 장치에 대한 프로세스 직접 액세스에 대한 데이터. 기록되는 데이터의 양을 제한하기 위해 필터를 구성할 수 있습니다. 로그는 표준 Syslog를 통해 저장할 수 있습니다.

출처 : opennet.ru