fim-ebpf

FIM-eBPF：基于 eBPF 的文件完整性监控 一个轻量级的 eBPF 程序，用于监控 Linux 上的文件创建和修改事件。该工具利用 eBPF（扩展的伯克利数据包过滤器）直接从内核跟踪文件操作，以极低的开销提供高性能监控。 特性 内核级监控 ：直接从内核跟踪文件操作（touch、nano 等）。 CO-RE 支持 ：设计用于在支持 CO-RE 的内核（内核 5.x+）上实现“一次编译，到处运行”。 可配置过滤 ：通过简单的 YAML 配置，按文件路径、操作或用户过滤事件。 目录监控 ：支持递归监控整个目录。在受监控目录（例如 /tmp）中访问的任何文件都会被跟踪。 低噪音...