Sysmon в Linux. На что способна система мониторинга Windows в чуждой среде

Мы час­то нас­тра­иваем аудит в Linux (auditd, eBPF) — и сами, и вмес­те с кол­легами. Потом при­ходят джу­ны, и выяс­няет­ся, что им... слож­но. Ну лад­но, подума­ли мы. Нем­ного извра­та — и хотя бы базовое логиро­вание в Linux всег­да мож­но нас­тро­ить, поч­ти без зат­рат.

Ос­новная цель статьи — рас­ска­зать об инс­тру­мен­те, показать его воз­можнос­ти и попол­нить копил­ку зна­ний «Хакера» еще одной занят­ной тех­нологи­ей, о которой в комь­юни­ти безопас­ников пока мало говорят.

Установка

С уста­нов­кой муд­рить не нуж­но: офи­циаль­ная инс­трук­ция прос­та и понят­на — все­го четыре коман­ды, и все готово.

Да и ребуты не нуж­ны. Что­бы запус­тить служ­бу, выпол­няем sysmon -i -n.

Мож­но про­верить, что по умол­чанию уже фик­сиру­ются какие‑то XML‑подоб­ные логи: sudo tail -f /var/log/syslog. В некото­рых дис­три­бути­вах их мож­но уви­деть через journalctl | grep sysmon. Ну и не забудь убе­дить­ся, что служ­ба вооб­ще запус­тилась: systemctl status sysmon.

Окей, health check про­шел. Базовые коман­ды похожи на вин­ду (есть хо­роший гайд по ним). Вве­дем sysmon и уви­дим минималь­ную справ­ку.

В целом на этом обзор мож­но было бы и закон­чить, но мы будем дотош­ны и пос­ледова­тель­ны. Зачем нам инс­тру­мент, который нель­зя пощупать?!

Ожидание: типы событий

Да­вай пос­мотрим, какие события может ловить Sysmon for Linux по срав­нению с его вин­довым соб­ратом. Оче­вид­но, что вин­довый может все.

Да, инс­тру­мент огра­ничен­ный, но иног­да и не нуж­но боль­шего — глав­ное, что­бы быс­тро!

Ес­ли чуть серь­езнее, то боль­шая часть воз­можнос­тей Sysmon завяза­на на проп­риетар­ные вин­довые фичи — WinAPI, WMI, осо­бен­ности NTFS, которых в Linux, оче­вид­но, мало или они вов­се отсутс­тву­ют, как, нап­ример, реестр.

В су­хом остатке мы дол­жны уви­деть хорошо струк­туриро­ван­ные базовые события: соз­дание и завер­шение про­цес­са, сетевые соеди­нения, соз­дание и уда­ление фай­лов, пря­мое чте­ние с дис­ка, получе­ние дос­тупа к про­цес­су. Есть собс­твен­ный аудит (изме­нение кон­фигура­ции Sysmon).

Настройка

Что ж, давай нас­тро­им инс­тру­мент, научим его логиро­вать что‑то полез­ное и про­верим Sysmon for Linux в дей­ствии.