Add BPF_MAP_FREEZE to perf_event output maps to prevent easily blinding of sysmon

Aberta
  • Algo errado?
#180 0 comentários 0 reações 1 responsável Ver no GitHub

@MarioHewardt já está trabalhando nisso.

Desde 17/6/2024.

Avaliação

Esta issue ainda não foi avaliada.

Descrição

investigate

Currently Sysmon uses a BPF_MAP_TYPE_PERF_EVENT_ARRAY map to send output from eBPF programs back to the user mode Sysmon process. This map can easily be either updated or cleared from other user mode programs, leaving Sysmon unable to see the eBPF programs outputs and makes process activities invisible.

Sysmon can use the BPF_MAP_FREEZE syscall option to freeze these output maps to prevent easily disabling of the map from userspace. However, loaded eBPF programs could still delete the map elements and has no known mitigation yet.

Linguagem predominante
C
Estrelas
2.2k
Forks
224
Merge médio
4h 50min
PRs com merge (30d)
3

Preparar o ambiente

Primeiros passos

  1. Leia a issue inteira e depois o guia de contribuição do projeto.
  2. Comente na issue dizendo que vai assumir — evita que duas pessoas façam o mesmo trabalho.
  3. Faça um fork do repositório e trabalhe em uma branch.
  4. Abra um pull request que referencie o número da issue.

Mais de microsoft/Sysmon-Linux

Todas as issues de microsoft/Sysmon-Linux

Issues semelhantes

Mais issues de C

Receba novas issues na sua caixa de entrada

Um resumo curto de issues do GitHub para quem está começando.