A Microsoft trasladou para a plataforma Linux o serviço de monitoramento de atividade do sistema Sysmon. Para rastrear o funcionamento do Linux, é utilizada a sub-sistema eBPF, que permite executar manipuladores no nível do núcleo do sistema operacional. Separadamente, está sendo desenvolvida a biblioteca SysinternalsEBPF, que inclui funções úteis para criar manipuladores BPF para monitorar eventos no sistema. O código da ferramenta é aberto sob a licença MIT, enquanto os programas BPF estão sob a licença GPLv2. No repositório packages.microsoft.com, estão disponíveis pacotes RPM e DEB prontos para os populares distribuições Linux.
O Sysmon permite manter um log com informações detalhadas sobre a criação e finalização de processos, conexões de rede e manipulações de arquivos. O log não somente guarda informações gerais, mas também dados úteis para a análise de incidentes de segurança relacionados, como o nome do processo pai, hashes do conteúdo dos arquivos executáveis, informações sobre bibliotecas dinâmicas, dados sobre o tempo de criação/acesso/modificação/exclusão de arquivos, e informações sobre o acesso direto dos processos a dispositivos de bloco. Para limitar o volume de dados registrados, há a possibilidade de configurar filtros. O log pode ser salvo através do Syslog padrão.
Fonte: opennet.ru
