Spoločnosť Microsoft preniesla na platformu Linux službu na monitorovanie aktivity v systéme Sysmon. Na sledovanie činnosti Linuxu sa používa pod systém eBPF, ktorý umožňuje spúšťať spracovateľov pracujúcich na úrovni jadra operačného systému. Samostatne sa vyvíja knižnica SysinternalsEBPF, ktorá obsahuje funkcie užitočné na vytváranie BPF-spracovateľov na monitorovanie udalostí v systéme. Kód nástroja je otvorený pod licenciou MIT a BPF programy sú pod licenciou GPLv2. V repozitári packages.microsoft.com sú umiestnené hotové balíky RPM a DEB vhodné pre populárne distribúcie Linuxu.
Sysmon umožňuje viesť log s podrobnými informáciami o vytváraní a ukončovaní procesov, sieťových pripojeniach a manipuláciách so súbormi. V logu sa uchovávajú nielen všeobecné údaje, ale aj informácie užitočné na analýzu incidentov súvisiacich s bezpečnosťou, ako napríklad meno rodičovského procesu, hashe obsahu spustiteľných súborov, informácie o dynamických knižniciach, údaje o čase vytvorenia/prístupu/zmeny/odstránenia súborov, informácie o priamom prístupe procesov k blokovým zariadeniam. Na obmedzenie objemu zapisovaných údajov je možné nastaviť filtre. Log môže byť uchovávaný prostredníctvom štandardného Syslog.
Zdroj: opennet.ru
