Add BPF_MAP_FREEZE to perf_event output maps to prevent easily blinding of sysmon

Offen
  • Stimmt etwas nicht?
#180 0 Kommentare 0 Reaktionen 1 zugewiesene Person Auf GitHub ansehen

@MarioHewardt arbeitet bereits daran.

Seit 17.6.2024.

Bewertung

Dieses Issue wurde noch nicht bewertet.

Beschreibung

investigate

Currently Sysmon uses a BPF_MAP_TYPE_PERF_EVENT_ARRAY map to send output from eBPF programs back to the user mode Sysmon process. This map can easily be either updated or cleared from other user mode programs, leaving Sysmon unable to see the eBPF programs outputs and makes process activities invisible.

Sysmon can use the BPF_MAP_FREEZE syscall option to freeze these output maps to prevent easily disabling of the map from userspace. However, loaded eBPF programs could still delete the map elements and has no known mitigation yet.

Vorherrschende Sprache
C
Sterne
2.2k
Forks
224
Ø Merge
4 Std. 50 Min.
Gemergte PRs (30 T.)
3

Entwicklungsumgebung

Erste Schritte

  1. Lesen Sie das ganze Issue und danach den Beitragsleitfaden des Projekts.
  2. Schreiben Sie ins Issue, dass Sie es übernehmen — das erspart doppelte Arbeit.
  3. Forken Sie das Repository und arbeiten Sie in einem Branch.
  4. Öffnen Sie einen Pull Request, der die Issue-Nummer nennt.

Mehr aus microsoft/Sysmon-Linux

Alle Issues in microsoft/Sysmon-Linux

Ähnliche Issues

Weitere Issues zu C

Neue Issues direkt in Ihr Postfach

Eine kurze Übersicht über anfängerfreundliche GitHub-Issues.