fsmon

Низкоуровневая утилита мониторинга файловой системы для Linux, Android, iOS и macOS.

• Автор: pancake @ nowsecure
• Лицензия: MIT

Разработана для

• Системных администраторов и специалистов по реагированию на инциденты
• Исследователей безопасности и судебных аналитиков
• Разработчиков, отлаживающих приложения с интенсивным вводом-выводом
• Специалистов по реверс-инжинирингу, интересующихся поведением доступа к файловой системе

Установка

На macOS теперь можно установить через brew с помощью следующих команд:

brew tap nowsecure/fsmon https://github.com/nowsecure/fsmon
brew install nowsecure/fsmon/fsmon

Либо просто выполните make или выберите сборки со страницы релизов.

make
make install PREFIX=/usr

Использование

Утилита получает события файловой системы из определённого каталога и отображает их в цветном формате или в JSON.

Можно фильтровать события по имени программы или идентификатору процесса (PID).

$ ./fsmon -h
Usage: ./fsmon-macos [-Jjc] [-a sec] [-b dir] [-B name] [-p pid] [-P proc] [path]
 -a [sec]  stop monitoring after N seconds (alarm)
 -b [dir]  backup files to DIR folder (EXPERIMENTAL)
 -B [name] specify an alternative backend
 -c        follow children of -p PID
 -f        show only filename (no path)
 -h        show this help
 -j        output in JSON format
 -J        output in JSON stream format
 -n        do not use colors
 -L        list all filemonitor backends
 -p [pid]  only show events from this pid
 -P [proc] events only from process name
 -v        show version
 [path]    only get events from this path
Examples:
 fsmon /data
 fsmon -J / | jq -r .filename
 fsmon -B fanotify /home
$

🔍 Ключевые возможности fsmon

fsmon — это низкоуровневый кроссплатформенный монитор файловой системы, предназначенный для разработчиков, судебных аналитиков и специалистов по реверс-инжинирингу. Он работает, подключаясь к трассировочным механизмам ядра ОС или API уведомлений о файлах.

✅ Поддерживаемые платформы

• Android: через inotify; fanotify поддерживается не всегда
• Linux: через inotify и fanotify
• macOS: использует kdebug, FSEvents, kqueue и /dev/fsevents
• iOS (ограниченная поддержка через API FSEvent)

Основные возможности

• Мониторинг файлов в реальном времени Обнаруживает и сообщает о таких операциях с файлами, как создание, удаление, изменение, изменение атрибутов и переименование в реальном времени.

• Поддержка нескольких бэкендов

  Автоматически выбирает наилучший доступный бэкенд мониторинга или позволяет пользователю указать нужный:

  • inotify, fanotify (Linux)
  • fsevapi, kdebug, devfsev, kqueue (iOS / macOS)

  Список бэкендов можно вывести с помощью fsmon -L.

• Информация на уровне процессов Связывает события файлов с именами процессов, PID и UID, где это возможно.

• Рекурсивный мониторинг Рекурсивно отслеживает целые деревья каталогов, динамически добавляя новые каталоги.

• Формат вывода JSON Поддерживает структурированное логирование в формате JSON или потоке JSON для лёгкой интеграции с другими инструментами (например, jq, ELK и т.д.).

• Фильтрация и форматирование имён файлов При необходимости убирает полные пути, показывает только имена файлов и раскрашивает вывод в зависимости от типа события.

🧪 Отслеживаемые типы событий

Примеры событий, которые может обнаруживать fsmon:

• CREATE_FILE, DELETE, RENAME
• OPEN, CLOSE, STAT_CHANGED
• CHOWN, CHMOD, XATTR_MODIFIED
• CONTENT_MODIFIED, EXCHANGE, FINDER_INFO_CHANGED

Компиляция

fsmon — это переносимая утилита. Она работает на iOS, OSX, Linux и Android (x86, arm, arm64, mips).

$ make

Кросс-компиляция для iOS/Android упрощена — достаточно выполнить make ios или make android:

$ make android NDK_ARCH=<ARCH> ANDROID_API=<API>

Лицензия

Этот инструмент — бесплатное программное обеспечение, разработанное компанией NowSecure и распространяемое под лицензией MIT.

Связаться с Sergi Alvarez можно по email [email protected].