Sysmon dla systemu Linux. Microsoft wydał nową wersję popularnego narzędzia

Sysmon trafił na Linuksa

Źródło zdjęć: © GETTY, Kirill Kukhmar/TASS | Kirill Kukhmar

15.10.2021 11:01

Znany i lubiany program do monitorowania systemu, Sysmon, trafił także na Linuksa. Na GitHubie pojawiło się repozytorium Sysmon For Linux, które zawiera niezbędny zestaw plików oraz instrukcję przydającą się w trakcie instalacji.

Za pomocą Sysmona użytkownicy mogli dotychczas monitorować swoje Windowsy w celu zarejestrowania i wykrycia wszelkich podejrzanych zachowań systemu. Narzędzie dla administratorów było zawsze bardzo chwalone i polecane sobie wzajemnie przez użytkowników.

Zależności dla Sysmona

Sysmon dla Linuksa został udostępniony przez Microsoft jako projekt open source. O ile w przypadku wersji na Windowsa użytkownicy dostają gotowy pakiet do instalacji, tak osoby korzystające z systemu z pingwinem muszą samodzielnie zbudować program. Na tym nie koniec, bowiem konieczne może być doinstalowanie wymaganych zależności. Zalecane jest skorzystanie z poniższego kodu:

sudo apt-key adv --keyserver hkp://keyserver.ubuntu.com:80 --recv-keys 3FA7E0328081BFF6A14DA29AA6A19B38D3D831EF
echo "deb https://download.mono-project.com/repo/ubuntu vs-bionic main" | sudo tee /etc/apt/sources.list.d/mono-official-vs.list
sudo apt update
sudo apt install build-essential gcc g++ make cmake libelf-dev llvm clang libxml2 libxml2-dev libzstd1 git libgtest-dev apt-transport-https dirmngr monodevelop googletest google-mock libjson-glib-dev
cd /usr/src/googletest
sudo mkdir build
sudo chown *user*:*group* build
cd build
cmake ..
make
sudo make install

To jednak nie wszystko, bowiem linuksowy Sysmon wymaga również zainstalowanego SysinternalsEBPF. Ten zaś możemy również znaleźć na GitHubie i również potrzebuje kilku zależności. Te jednak można łatwo zainstalować komendą:

sudo apt update
sudo apt install build-essential gcc g++ make cmake libelf-dev llvm clang libzstd1 git libjson-glib-dev

Mając odpowiednie zależności możemy przystąpić do budowania:

cd
git clone https://github.com/Sysinternals/SysinternalsEBPF.git
cd SysinternalsEBPF
mkdir build
cd build
cmake ..
make

Oraz do instalacji za pomocą komendy sudo make install.

Instalacja Sysmona

Mając w systemie wymagane zależności, możemy przystąpić do budowania oraz instalacji Sysmona dla Linuksa. Tutaj twórcy zalecają skorzystanie z poniższego schematu:

cd
git clone --recurse-submodules https://github.com/Sysinternals/SysmonForLinux.git
cd SysmonForLinux
mkdir build
cd build
cmake ..
make

Do instalacji będą nam potrzebne komendy:

sudo ./sysmon -accepteula
sudo ./sysmon -i CONFIG_FILE

Gdybyśmy chcieli jednak w przyszłości odinstalować Sysmon, należy skorzystać z komendy:

sudo /opt/sysmon/sysmon -u

Programy

Zobacz więcej