fsmon

Utilitário de monitoramento de sistema de arquivos de baixo nível para Linux, Android, iOS e macOS.

• Autor: pancake @ nowsecure
• Licença: MIT

Projetado para

• Administradores de sistemas e respondedores de incidentes
• Pesquisadores de segurança e analistas forenses
• Desenvolvedores depurando aplicações com uso intensivo de E/S
• Engenheiros reversos interessados em observar o comportamento de acesso ao sistema de arquivos

Instalação

No macOS você pode instalá-lo via brew com estes comandos:

brew tap nowsecure/fsmon https://github.com/nowsecure/fsmon
brew install nowsecure/fsmon/fsmon

Alternativamente, execute make ou escolha as versões pré-compiladas na página de releases.

make
make install PREFIX=/usr

Uso

A ferramenta recupera eventos do sistema de arquivos de um diretório específico e os exibe em formato colorido ou em JSON.

É possível filtrar os eventos que ocorrem a partir de um nome de programa específico ou ID de processo (PID).

$ ./fsmon -h
Usage: ./fsmon-macos [-Jjc] [-a sec] [-b dir] [-B name] [-p pid] [-P proc] [path]
 -a [sec]  stop monitoring after N seconds (alarm)
 -b [dir]  backup files to DIR folder (EXPERIMENTAL)
 -B [name] specify an alternative backend
 -c        follow children of -p PID
 -f        show only filename (no path)
 -h        show this help
 -j        output in JSON format
 -J        output in JSON stream format
 -n        do not use colors
 -L        list all filemonitor backends
 -p [pid]  only show events from this pid
 -P [proc] events only from process name
 -v        show version
 [path]    only get events from this path
Examples:
 fsmon /data
 fsmon -J / | jq -r .filename
 fsmon -B fanotify /home
$

🔍 Principais Funcionalidades do fsmon

fsmon é um monitor de sistema de arquivos de baixo nível e multiplataforma projetado para desenvolvedores, analistas forenses e engenheiros reversos. Ele funciona conectando-se às facilidades de rastreamento do kernel do sistema operacional ou APIs de notificação de arquivos.

✅ Plataformas Suportadas

• Android: via inotify, fanotify nem sempre é suportado
• Linux: via inotify e fanotify
• macOS: usando kdebug, FSEvents, kqueue e /dev/fsevents
• iOS (suporte limitado através das APIs FSEvent)

Capacidades Principais

• Monitoramento de Arquivos em Tempo Real Detecta e relata operações de arquivos como criação, exclusão, modificação, alterações de atributos e renomeações em tempo real.

• Suporte a Múltiplos Backends

  Seleciona automaticamente o melhor backend de monitoramento disponível ou permite que o usuário escolha:

  • inotify, fanotify (Linux)
  • fsevapi, kdebug, devfsev, kqueue (iOS / macOS)

  A lista de backends pode ser listada com fsmon -L.

• Insights a Nível de Processo Associa eventos de arquivos a nomes de processos, PIDs e UIDs, quando possível.

• Monitoramento Recursivo Monitora árvores de diretórios inteiras recursivamente, adicionando dinamicamente novos diretórios.

• Formato de Saída JSON Suporta registro estruturado em JSON ou modo de fluxo JSON para fácil integração com outras ferramentas (ex.: jq, ELK, etc).

• Filtragem e Formatação de Nomes de Arquivos Opcionalmente remove caminhos completos, exibe apenas nomes de arquivos e coloriza a saída com base no tipo de evento.

🧪 Tipos de Eventos Rastreados

Exemplos de eventos que fsmon pode detectar:

• CREATE_FILE, DELETE, RENAME
• OPEN, CLOSE, STAT_CHANGED
• CHOWN, CHMOD, XATTR_MODIFIED
• CONTENT_MODIFIED, EXCHANGE, FINDER_INFO_CHANGED

Compilação

fsmon é uma ferramenta portátil. Funciona em iOS, OSX, Linux e Android (x86, arm, arm64, mips)

$ make

A compilação cruzada para iOS/Android é facilitada executando make ios ou make android:

$ make android NDK_ARCH=<ARCH> ANDROID_API=<API>

Licença

Esta ferramenta é software livre desenvolvido pela NowSecure e distribuído sob a licença MIT.

Você pode contatar Sergi Alvarez por e-mail [email protected]