Microsoft ha聽聽portado聽聽el聽聽聽servicio de monitoreo de actividad聽Sysmon聽a la plataforma Linux.聽Para monitorear el trabajo de Linux, se utiliza el subsistema eBPF, que le permite ejecutar controladores que funcionan en el nivel del kernel del sistema operativo.
La聽聽 biblioteca SysinternalsEBPF聽se est谩 desarrollando por separado, que incluye funciones 煤tiles para crear controladores BPF para monitorear eventos del sistema.聽El c贸digo del kit de herramientas est谩聽聽abierto聽聽bajo la licencia MIT y los programas BPF est谩n bajo la licencia GPLv2.
El repositorio packages.microsoft.com contiene paquetes RPM y DEB listos para usar, adecuados para distribuciones populares de Linux.
Sysmon le permite mantener un registro con informaci贸n detallada sobre la creaci贸n y terminaci贸n de procesos, conexiones de red y manipulaciones de archivos.
El registro almacena no solo informaci贸n general, sino tambi茅n informaci贸n 煤til para analizar incidentes relacionados con la seguridad, como el nombre del proceso principal, hashes del contenido de archivos ejecutables, informaci贸n sobre bibliotecas din谩micas, informaci贸n sobre el momento de creaci贸n /acceso/modificaci贸n/borrado de archivos, datos sobre acceso directo de procesos para bloquear dispositivos.
Para limitar la cantidad de datos registrados, se proporciona la capacidad de personalizar filtros. El registro se puede guardar a trav茅s del Syslog normal.
Fuente: https://techcommunity.microsoft.com.