Microsoft har porterat över systemövervakningstjänsten Sysmon till Linux-plattformen. För att spåra aktivitet på Linux används eBPF-underdosystemet, som gör det möjligt att köra hanterare på kärnnivå. En separat utveckling är SysinternalsEBPF-biblioteket, som innehåller funktioner användbara för att skapa BPF-hanterare för att övervaka händelser i systemet. Verktygs kod är öppen under MIT-licensen, medan BPF-program är under GPLv2-licensen. Klara RPM- och DEB-paket, lämpliga för populära Linux-distributioner, finns på paketarkivet packages.microsoft.com.
Sysmon gör det möjligt att logga detaljerad information om skapande och avslutande av processer, nätverksanslutningar och filmanipulationer. I loggen sparas inte bara allmän information, utan även uppgifter som är nyttiga för att analysera säkerhetsrelaterade incidenter, såsom namnet på överordnad process, hashvärden för innehållet i körbara filer, information om dynamiska bibliotek, samt uppgifter om tidpunkter för skapande/åtkomst/ändring/borttagning av filer och data om direkttillgång för processer till blockenheter. För att begränsa mängden inspelade data finns möjlighet att konfigurera filter. Loggen kan sparas via den vanliga Syslog.
Källa: opennet.ru
