Add BPF_MAP_FREEZE to perf_event output maps to prevent easily blinding of sysmon

Abierto

#180 abierto el 17/6/2024 0 comentarios 0 reacciones 1 asignado Ver en GitHub

@MarioHewardt ya está trabajando en esto.

Desde el 17/6/2024.

Evaluación

Este issue todavía no se ha evaluado.

Descripción

investigate

Currently Sysmon uses a BPF_MAP_TYPE_PERF_EVENT_ARRAY map to send output from eBPF programs back to the user mode Sysmon process. This map can easily be either updated or cleared from other user mode programs, leaving Sysmon unable to see the eBPF programs outputs and makes process activities invisible.

Sysmon can use the BPF_MAP_FREEZE syscall option to freeze these output maps to prevent easily disabling of the map from userspace. However, loaded eBPF programs could still delete the map elements and has no known mitigation yet.

Lenguaje dominante: C
Estrellas: 2.2k
Forks: 220
Merge medio: 11 d 22 h
PR fusionados (30 d): 2

Guía de contribución

Abrir la guía de contribución

Primeros pasos

Lee el issue completo y luego la guía de contribución del proyecto.
Comenta en el issue que vas a ocuparte — evita que dos personas hagan lo mismo.
Haz un fork del repositorio y trabaja en una rama.
Abre un pull request que haga referencia al número del issue.

Más de microsoft/SysmonForLinux

ProcessTerminate events intermittently report an unrelated user's UID instead of the terminating process's UID Abierto

microsoft/SysmonForLinux#238 · 1 asignado · Abierto el 22/7/2026
Sysmon event 3 is not detecting TCP connections on Sysmon v1.5.1 on Rocky linux 9.7 Abierto

Dificultad 4/5 3-5 días Aptitud para principiantes 35/100

microsoft/SysmonForLinux#233 · Abierto el 24/4/2026
fix: prevent division by zero in intHandler when no events received Abierto

microsoft/SysmonForLinux#230 · 1 asignado · Abierto el 4/4/2026
Config is lost after update to 1.5 Abierto

microsoft/SysmonForLinux#226 · 1 asignado · Abierto el 20/2/2026
Request: Official support for Debian 13 (Trixie) Abierto

Dificultad 5/5 Más de una semana Aptitud para principiantes 25/100

microsoft/SysmonForLinux#220 · 2 reacciones · Abierto el 13/1/2026

Todos los issues de microsoft/SysmonForLinux

Issues similares

if(cond,a,b) treats any nonzero cond as true in every bngsim backend (ExprTk interpreter, C codegen, SSA), which contradicts docs/reference/expressions.md ('true when > 0.5') and BNG's run_network. A non-boolean condition in (-inf,0) or... Abierto

bug

Dificultad 1/5 Menos de una hora Aptitud para principiantes 60/100

lanl/bngsim#774 · Abierto el 23/9/2026
Signed left-shift undefined behavior in `nbase/nbase_addrset.c` (`(1<<31)`, 4 sites) Abierto

Nmap

Dificultad 1/5 Menos de una hora Aptitud para principiantes 85/100

nmap/nmap#3514 · Abierto el 23/9/2026
[BUG] libcuml fails to build with -DCUML_ALGORITHMS=SVM (cuVS not linked) Abierto

Dificultad 2/5 1-3 horas Aptitud para principiantes 65/100

NVIDIA/cuml#8705 · Abierto el 23/9/2026
Vulkan int8-coopmat matmul on RDNA3 (#27952): RX 7900 XTX 27B benchmark data + a small boundary-safety fix Abierto

Dificultad 2/5 1-3 horas Aptitud para principiantes 65/100

ggml-org/llama.cpp#29342 · Abierto el 23/9/2026
[flang][cuda] CUFPredefinedVarToGPU crashes on a fir.copy whose destination is the predefined-variable declare Abierto

flang:fir-hlfir

Dificultad 2/5 1-3 horas Aptitud para principiantes 70/100

llvm/llvm-project#225935 · Abierto el 23/9/2026

Más issues de C

Un resumen breve de issues de GitHub para principiantes.