Microsoft heeft de Sysmon-activiteit monitoring service naar het Linux-platform geport. Voor het volgen van Linux-activiteiten wordt het eBPF-systeem gebruikt, dat de uitvoering van handlers op systeemkern-niveau mogelijk maakt. Daarnaast wordt de SysinternalsEBPF-bibliotheek ontwikkeld, die functies omvat die nuttig zijn voor het creƫren van BPF-handlers voor het monitoren van systeemgebeurtenissen. De toolboxcode is open-source onder de MIT-licentie, terwijl BPF-programma's onder de GPLv2-licentie vallen. In de repository packages.microsoft.com zijn kant-en-klare RPM- en DEB-pakketten beschikbaar voor populaire Linux-distributies.
Sysmon maakt het mogelijk om een log bij te houden met gedetailleerde informatie over het creƫren en beƫindigen van processen, netwerkverbindingen en bestandsmanipulaties. In het log worden niet alleen algemene gegevens opgeslagen, maar ook informatie die nuttig is voor het analyseren van beveiligingsgerelateerde incidenten, zoals de naam van het bovenliggende proces, hashes van de inhoud van uitvoerbare bestanden, informatie over dynamische bibliotheken, gegevens over het aanmaken/modificeren/verwijderen van bestanden, en gegevens over directe toegang van processen tot blokapparaten. Er zijn instellingen beschikbaar om de hoeveelheid geregistreerde gegevens te beperken met filters. Het log kan worden opgeslagen via de standaard Syslog.
Bron: opennet.ru
