이것은 감사를위한 완벽한 직업인 것 같습니다. 최신 RedHat 기반 시스템에서 기본 서비스 인 실행 감사를 마치면 실행하여 원하는대로 정확하게 수행 할 규칙을 작성할 수 있습니다.

auditctl -a task,always -F uid=0

이 명령 규칙을 세분화하여 매뉴얼 페이지를 과도하게 사용하면 다음을 알 수 있습니다.

   -a list,action
          task       Add  a  rule to the per task list. This rule list is used
                     only at the time a task is created -- when fork() or
                     clone() are called by the parent task. When using this
                     list, you should only use fields that are known at task
                     creation time, such as the uid, gid, etc.
          always     Allocate an audit context, always fill it in at syscall
                     entry time, and always write out a record at syscall exit
                     time.

따라서 포크 또는 복제 시스템 호출이 종료 될 때마다 항상이 조치에 대한 레코드를 작성하십시오.

최종 옵션은 필터 문자열로 생각할 수 있습니다. 우리 -F uid=0는 프로세스 소유자의 uid가 0 인 경우로 제한합니다.

이 규칙은 감사가 올바르게 구성되어 있는지 확인하고
-a task,always -F uid=0
배포를 위해 관련 파일에 규칙 을 추가하여 런타임에 실행될 수 있습니다./etc/audit/audit.rules

이것은 꽤 어리 석고 시끄러운 일이며, 로그 검토를하는 사람은 준비해야합니다.

답변

perl -e 'my %pids; while(1) { my @pids = `ps -U root -u root`; foreach (@pids) { next if /ps$/; ($pid) = /^\s*(\d+)\D/; if (!$pids{$pid}) { $pids{$pid}++; print "Process $pid created (" . `cat /proc/$pid/cmdline` . ")\n"; } } }