FIM-eBPF: eBPFによるファイル完全性監視

Linux上でファイル作成および変更イベントを監視する軽量なeBPFプログラムです。このツールはeBPF（Extended Berkeley Packet Filter）を活用して、カーネルから直接ファイル操作をトレースし、最小限のオーバーヘッドで高性能な監視を提供します。

機能

カーネルレベルの監視: カーネルから直接ファイル操作（touch、nanoなど）をトレースします。
CO-RE対応: 対応するカーネル（Kernel 5.x以降）上でCompile Once – Run Everywhere (CO-RE) を動作可能に設計されています。
設定可能なフィルタリング: シンプルなYAML設定により、ファイルパス、アクション、ユーザーでイベントをフィルタリングできます。
ディレクトリ監視: ディレクトリ全体を再帰的に監視できます。監視対象ディレクトリ（例: /tmp）内でアクセスされたファイルはすべて追跡されます。
低ノイズ: イベントがユーザースペースに到達する前にカーネル内でフィルタリングし、オーバーヘッドを削減します。
パス解決: カーネル内でディレクトリinodeを追跡することにより、絶対パスと相対パス（例: cd /tmp; touch file）の両方を正しく処理します。

前提条件

Linuxカーネル5.x以降: CO-RE対応に必要です（例: RHEL 9、Ubuntu 20.04+など）。
root権限: eBPFプログラムをカーネルにロードするにはrootアクセスが必要です。

インストール

最新のバイナリはReleasesページからダウンロードできます。

ソースからビルド

自分でプロジェクトをビルドするには、Goがインストールされている必要があります。

# Clone the repository
git clone https://github.com/harshavmb/fim-ebpf.git
cd fim-ebpf

# Build the binary
go build -o fim-ebpf .

使用方法

バイナリと同じディレクトリにconfig.yamlファイルを作成します（または既存のものを変更します）。

monitored_files:
  - /tmp/testfile
  - /etc/passwd
  - /etc/shadow
  - /tmp ## monitor the entire directory
ignore_actions:
  - read
  - stat
ignore_users:
  - root

root権限でバイナリを実行します:
```
sudo ./fim-ebpf
```

出力例

2025/08/18 07:22:09 Monitoring started. Ctrl+C to exit.
2025/08/18 07:22:37 Event: PID=1745080 UID=6087179 (6087179 (harsha)) CMD=touch FILE=/tmp/testfile FLAGS=00000941 ## actual user
2025/08/18 07:22:54 Event: PID=1745108 UID=0 (0 (root) [Login: 6087179 (harsha)]) CMD=touch FILE=/tmp/testfile FLAGS=00000941 ## even after sudo
2026/01/03 18:55:56 Event: PID=3718310 UID=1002 (1002 (harsha)) CMD=touch FILE=/tmp/testfile ACTION=OPEN FLAGS=00000941 ## monitoring files in a dir

アーキテクチャ

このプロジェクトは、eBPFプログラムのロードと対話のためにcilium/ebpfを使用しています。eBPFコードはカーネル内で実行され、リングバッファを介してイベントをユーザースペースのGoプログラムに送信します。

fim-ebpf

人気