FSMON：一款多平台文件系统安全监控工具

FSMON是一款多平台文件系统安全监控工具，该工具可以帮助广大研究人员在 Linux、Android、iOS 和 macOS 上实现文件系统安全监控。

Linux

Android

iOS

macOS

广大研究人员可以直接使用下列命令将该项目源码克隆至本地：

git clone https://github.com/nowsecure/fsmon.git

FSMON是一款便携式工具。它适用于 iOS、OSX、Linux 和 Android (x86、arm、arm64、mips)。

Linux

$ make

OSX + iOS fatbin

$ make

iOS

$ make ios

Android

$ make android NDK_ARCH=<ARCH> ANDROID_API=<API>

要在系统范围内安装 fsmon，只需输入：

$ make install

更改安装路径：

$ make install PREFIX=/usr DESTDIR=/

该工具从特定目录检索文件系统事件并以彩色格式或 JSON 显示它们，并支持过滤从特定程序名称或进程 ID（PID）发生的事件。

下列命令可以查看该工具的帮助信息：

$ ./fsmon -hUsage: ./fsmon-macos [-Jjc] [-a sec] [-b dir] [-B name] [-p pid] [-P proc] [path] -a [sec]  N秒后停止监测[秒]（报警） -b [dir]  将文件备份到dir文件夹（实验） -B [name] 指定一个替代后端 -c        -p PID后续子进程 -f        仅显示文件名（无路径） -h       显示此帮助 -j        JSON格式的输出 -J        JSON流格式输出 -n        不使用颜色 -L        列出所有文件监视器后端 -p [pid]  仅显示来自此pid的事件 -P [proc] 仅显示来自目标进程名称的事件 -v        显示版本 [path]    仅从该路径获取事件

FSMON文件系统信息根据操作系统和可用的 API 从不同的后端获取。下列给出的事后端列表（fsmon -L）：

inotify（Linux / Android）

fanotify（linux > 2.6.36 / android 带有自定义内核）

devfsev（osx /dev/fsevents - 需要 root）

kqueue（xnu - 需要 root）

kdebug（bsd？，xnu - 需要 root）

fsevapi (osx 文件系统监视 api)

fsmon /datafsmon -J / | jq -r .filenamefsmon -B fanotify /home

本项目的开发与发布遵循MIT开源许可协议。

FSMON：

https://github.com/nowsecure/fsmon