Làm thế nào để ghi nhật ký tất cả các cuộc gọi hệ thống được thực hiện bởi một quy trình và tất cả các hậu duệ của nó với audd

tôi có thể làm

auditctl -a always,exit -S all -F pid=1234

Để ghi nhật ký tất cả các cuộc gọi hệ thống được thực hiện bởi pid 1234 và:

auditctl -a always,exit -S all -F ppid=1234

Đối với con của nó, nhưng làm thế nào để tôi bao gồm các cháu và các con của họ (hiện tại và tương lai)?

Tôi không thể dựa vào (e) uid / (e) gid mà thay đổi.

(lưu ý rằng sử dụng stracekhông phải là một tùy chọn)

Chỉ cần đề xuất một cái gì đó mà không có cách nào để thử nó ngay bây giờ ... nhưng chỉ cần đoán từ chính bài đăng

Đây là một đề xuất của giải pháp:

Giả sử id quá trình cao nhất nằm ở $ pid và trên linux cũng ps -Tcho ra cây quy trình (hiện tại tôi không thể truy cập vào linux)

for eachpid in $(ps -T "$pid" | awk '{print $1}' | grep -v 'PID')
do
   auditctl -a always,exit -S all -F pid=$eachpid  >somelog_${eachpid}.log 2>&1
done

Tất nhiên, thay thế ps -T "$pid"bằng tương đương với linux, nếu cái đó không hoạt động trên linux (hoặc tìm nó bằng cách sử dụng đầu ra "pstree -p", pid sẽ nằm giữa dấu ngoặc đơn)