fsmon

أداة مراقبة نظام الملفات منخفضة المستوى لأنظمة Linux و Android و iOS و macOS.

• المؤلف: pancake @ nowsecure
• الترخيص: MIT

مصممة لـ

• مسؤولي النظام ومستجيبي الحوادث
• باحثي الأمن ومحللي الطب الشرعي
• المطورين الذين يقومون بتصحيح التطبيقات الثقيلة I/O
• مهندسي الهندسة العكسية المهتمين بمراقبة سلوك الوصول لنظام الملفات

التثبيت

في macOS يمكنك الآن تثبيته عبر brew باستخدام الأوامر التالية:

brew tap nowsecure/fsmon https://github.com/nowsecure/fsmon
brew install nowsecure/fsmon/fsmon

بدلاً من ذلك، قم بتشغيل make أو اختر الإصدارات من صفحة الإصدارات.

make
make install PREFIX=/usr

الاستخدام

تسترجع الأداة أحداث نظام الملفات من دليل معين وتعرضها بتنسيق ملون أو بصيغة JSON.

من الممكن تصفية الأحداث التي تحدث من اسم برنامج معين أو معرف عملية (PID).

$ ./fsmon -h
Usage: ./fsmon-macos [-Jjc] [-a sec] [-b dir] [-B name] [-p pid] [-P proc] [path]
 -a [sec]  stop monitoring after N seconds (alarm)
 -b [dir]  backup files to DIR folder (EXPERIMENTAL)
 -B [name] specify an alternative backend
 -c        follow children of -p PID
 -f        show only filename (no path)
 -h        show this help
 -j        output in JSON format
 -J        output in JSON stream format
 -n        do not use colors
 -L        list all filemonitor backends
 -p [pid]  only show events from this pid
 -P [proc] events only from process name
 -v        show version
 [path]    only get events from this path
Examples:
 fsmon /data
 fsmon -J / | jq -r .filename
 fsmon -B fanotify /home
$

🔍 الميزات الرئيسية لـ fsmon

fsmon هي أداة مراقبة نظام الملفات منخفضة المستوى ومتعددة المنصات مصممة للمطورين ومحللي الطب الشرعي ومهندسي الهندسة العكسية. تعمل عن طريق التعقب في مرافق تتبع النواة أو واجهات برمجة تطبيقات إشعار الملفات.

✅ المنصات المدعومة

• Android: عبر inotify، fanotify غير مدعوم دائمًا
• Linux: عبر inotify و fanotify
• macOS: باستخدام kdebug و FSEvents و kqueue و /dev/fsevents
• iOS: (دعم محدود عبر واجهات FSEvent API)

القدرات الأساسية

• مراقبة الملفات في الوقت الفعلي تكتشف وتُبلغ عن عمليات الملفات مثل الإنشاء والحذف والتعديل وتغييرات السمات وإعادة التسمية في الوقت الفعلي.

• دعم خلفيات متعددة يختار تلقائيًا أفضل خلفية مراقبة متاحة أو يسمح للمستخدمين بالاختيار:

  • inotify, fanotify (Linux)
  • fsevapi, kdebug, devfsev, kqueue (iOS / macOS) يمكن عرض قائمة الخلفيات باستخدام fsmon -L.

• رؤى على مستوى العملية يربط أحداث الملفات بأسماء العمليات ومعرفات العمليات ومعرفات المستخدمين، حيثما أمكن.

• مراقبة متكررة يراقب أشجار الدلائل بأكملها بشكل متكرر، مع إضافة دلائل جديدة ديناميكيًا.

• تنسيق مخرجات JSON يدعم التسجيل المهيكل بصيغة JSON أو وضع تدفق JSON لتكامل سهل مع الأدوات الأخرى (مثل jq، ELK، إلخ).

• تصفية وتنسيق أسماء الملفات يزيل المسارات الكاملة اختياريًا، ويعرض أسماء الملفات فقط، ويلون المخرجات بناءً على نوع الحدث.

• مراقبة انتقائية تصفية الأحداث حسب:

  • اسم عملية محدد (-P)

🧪 أنواع الأحداث المتتبعة

أمثلة على الأحداث التي يمكن أن يكتشفها fsmon:

• CREATE_FILE, DELETE, RENAME
• OPEN, CLOSE, STAT_CHANGED
• CHOWN, CHMOD, XATTR_MODIFIED
• CONTENT_MODIFIED, EXCHANGE, FINDER_INFO_CHANGED

التجميع

fsmon أداة محمولة. تعمل على iOS، OSX، Linux و Android (x86, arm, arm64, mips)

$ make

الترجمة المتقاطعة لـ iOS/Android سهلة بمجرد تشغيل make ios أو make android:

$ make android NDK_ARCH=<ARCH> ANDROID_API=<API>

الترخيص

هذه الأداة هي برنامج حر تم تطويره بواسطة NowSecure ويتم توزيعها بموجب ترخيص MIT.

يمكنك التواصل مع Sergi Alvarez عبر البريد الإلكتروني [email protected]