Disable auto rewriting of files

Đang mở
  • Có gì không ổn?
#184 4 bình luận 0 reaction 1 người được giao Xem trên GitHub

@MarioHewardt đang làm issue này rồi.

Từ ngày 24/8/2024.

Đánh giá

Issue này chưa được đánh giá.

Mô tả

investigate

Describe the bug

sysmon regularly rewrites file in /opt/sysmon and systemd unit file. It triggers changes in Host IDS like aide like:
d =.... mc.. .. . : /etc/systemd/system
f =.... mc..... . : /etc/systemd/system/sysmon.service
d =.... mc.. .. . : /opt/sysmon
f =.... mc..H.. . : /opt/sysmon/eventId
f =.... mc..... . : /opt/sysmon/rules.bin
f =.... mci.... . : /opt/sysmon/sysmon
f =.... mc..... . : /opt/sysmon/sysmonEBPFkern4.15.o
f =b... mc..... . : /opt/sysmon/sysmonEBPFkern4.15_core.o
f =.... mc..... . : /opt/sysmon/sysmonEBPFkern4.16.o
f =b... mc..... . : /opt/sysmon/sysmonEBPFkern4.16_core.o
f =.... mc..... . : /opt/sysmon/sysmonEBPFkern4.17-5.1.o
f =.... mc..... . : /opt/sysmon/sysmonEBPFkern4.17-5.1_core.o
f =b... mc..... . : /opt/sysmon/sysmonEBPFkern5.2.o
f =.... mc..... . : /opt/sysmon/sysmonEBPFkern5.2_core.o
f =.... mc..... . : /opt/sysmon/sysmonEBPFkern5.3-5.5.o
f =.... mc..... . : /opt/sysmon/sysmonEBPFkern5.3-5.5_core.o
f =b... mc..... . : /opt/sysmon/sysmonEBPFkern5.6-.o
f =.... mc..... . : /opt/sysmon/sysmonEBPFkern5.6-_core.o
f =.... mc..... . : /opt/sysmon/sysmonLogView

from aide.conf man
o A b means that the block count has changed.
o A m means that the modification time has changed.
o A c means that the change time has changed.
o An i means that the inode has changed.
o A H means that one or more message digests have changed.

is there any way to disable this behaviour especially as files are unchanged most of the time?
I can mark files as immutable but prefer fixing at source and only have changes when package is updated (or kernel).

To Reproduce
Install sysmon and hids like aide. Aide Debian (or Ubuntu) has a daily check task by default.

Sysmon version
1.3.3 (upstream package)

Distro/kernel version

# lsb_release -a
No LSB modules are available.
Distributor ID: Ubuntu
Description:    Ubuntu 22.04.4 LTS
Release:        22.04
Codename:       jammy
# uname -a
Linux HOST 5.15.0-113-generic #123-Ubuntu SMP Mon Jun 10 08:16:17 UTC 2024 x86_64 x86_64 x86_64 GNU/Linux

Sysmon configuration
Irrelevant

Logs
Irrelevant

Expected behavior
files including all binaries and kernel modules should not be changed without a defined action, typically package update of sysmon or kernel updates.
In its current form, it happens by itself even if no sysmon or kernel update and without configuration options.

Additional context
No change should happen to system without a controlled change operated by administrator or delegated systems, especially more on binaries and kernel modules.
Likely create issues for immutable systems.

Ngôn ngữ chính
C
Star
2.2k
Fork
222
Merge trung bình
4 giờ 50 phút
Pull request đã merge (30 ngày)
3

Chuẩn bị môi trường

Bắt đầu từ đâu

  1. Đọc hết issue, rồi đọc hướng dẫn đóng góp của dự án.
  2. Bình luận trên issue rằng bạn sẽ nhận — tránh hai người làm cùng một việc.
  3. Fork repository và làm thay đổi trên một nhánh.
  4. Mở pull request có tham chiếu số hiệu của issue.

Issue khác của microsoft/Sysmon-Linux

Tất cả issue của microsoft/Sysmon-Linux

Issue tương tự

Thêm issue về C

Nhận issue mới trong hộp thư của bạn

Bản tóm tắt ngắn những issue GitHub phù hợp với người mới.