Add BPF_MAP_FREEZE to perf_event output maps to prevent easily blinding of sysmon

Ouverte
  • Quelque chose ne va pas ?
#180 0 commentaires 0 réactions 1 personne assignée Voir sur GitHub

@MarioHewardt y travaille déjà.

Depuis le 17/6/2024.

Évaluation

Cette issue n'a pas encore été évaluée.

Description

investigate

Currently Sysmon uses a BPF_MAP_TYPE_PERF_EVENT_ARRAY map to send output from eBPF programs back to the user mode Sysmon process. This map can easily be either updated or cleared from other user mode programs, leaving Sysmon unable to see the eBPF programs outputs and makes process activities invisible.

Sysmon can use the BPF_MAP_FREEZE syscall option to freeze these output maps to prevent easily disabling of the map from userspace. However, loaded eBPF programs could still delete the map elements and has no known mitigation yet.

Langage dominant
C
Étoiles
2.2k
Forks
224
Merge moyen
4 h 50 min
PR mergées (30 j)
3

Préparer son environnement

Par où commencer

  1. Lisez l'issue en entier, puis le guide de contribution du projet.
  2. Signalez en commentaire que vous la prenez — cela évite que deux personnes fassent le même travail.
  3. Forkez le dépôt et travaillez sur une branche.
  4. Ouvrez une pull request qui référence le numéro de l'issue.

Autres issues de microsoft/Sysmon-Linux

Toutes les issues de microsoft/Sysmon-Linux

Issues similaires

Plus d'issues C

Recevez les nouvelles issues par e-mail

Un résumé court des issues GitHub adaptées aux débutants.