Podjetje Microsoft je portiralo storitev za spremljanje dejavnosti v sistemu Sysmon na platformo Linux. Za sledenje delovanju Linuxa se uporablja podsystem eBPF, ki omogoča izvajanje obdelovalcev, ki delujejo na ravni jedra operacijskega sistema. Ločeno se razvija knjižnica SysinternalsEBPF, ki vključuje funkcije, koristne za ustvarjanje BPF-obdelovalcev za spremljanje dogodkov v sistemu. Koda orodja je odprta pod licenco MIT, BPF-programi pa pod licenco GPLv2. V repozitoriju packages.microsoft.com so na voljo pripravljeni RPM in DEB paketi, primerni za priljubljene distribucije Linuxa.
Sysmon omogoča vodenje dnevnika z podrobnimi informacijami o ustvarjanju in zaključevanju procesov, omrežnimi povezavami in manipulacijami s datotekami. V dnevniku so shranjeni ne samo splošni podatki, temveč tudi informacije, koristne za preiskovanje incidentov, povezanih z varnostjo, kot so ime starševskega procesa, hash vrednosti vsebine izvršnih datotek, informacije o dinamičnih knjižnicah, podatki o času ustvarjanja/dostopa/spremembe/izbrisa datotek in podatki o neposrednem dostopu procesov do blokovnih naprav. Za omejevanje obsega shranjenih podatkov je na voljo možnost nastavitev filtrov. Dnevnik se lahkohrani preko običajnega Sysloga.
Izvor: opennet.ru
