Компания Microsoft портировала на платформу Linux сервис мониторинга активности в системе Sysmon. Для отслеживания работы Linux применяется подсистема eBPF, позволяющая запускать обработчики, работающие на уровне ядра операционной системы. Отдельно развивается библиотека SysinternalsEBPF, включающая функции, полезные для создания BPF-обработчиков для мониторинга событий в системе. Код инструментария открыт под лицензией MIT, а BPF-программы под лицензией GPLv2. В репозитории packages.microsoft.com размещены готовые пакеты RPM и DEB, подходящие для популярных дистрибутивов Linux.
Ссылка: https://www.opennet.ru/opennews/art.shtml?num=55974