logging – Linux で起動したプロセスをすべてログに記録するには？

linux logging

起動された全てのプロセスのログを、起動された時間と起動された引数と共に取得したいと思います。これはLinuxで可能でしょうか？

　 57　 Brandon DuRette　 2010-12-16

ベストアンサー

あなたの出発点は、監査dでなければなりません

こんな感じで試してみてください

apt-get install auditd
auditctl -a task,always
ausearch -i -sc execve

42　 Mikel　 2010-12-17

これをする必要があったのは、(1)時間がいらないこと、(2)与えられたプロセスが起動するプロセスと、その子や後続の子孫にしか興味がないこと、を除いては、です。また、私が使っていた環境では、auditdやacctonを取得することはできませんでしたが、valgrindはありました

コマンドラインで興味のあるプロセスには、以下のように接頭辞を付けてください

valgrind --trace-children=yes

必要な情報は、STDERRに表示されるログ出力に表示されます

11　 Evgeni Sergeev　 2012-10-26

これにはスヌーピーを使うといいでしょう

インストールは非常に簡単で、2.x以降は任意のデータ（引数、環境変数、cwdなど）をログに記録することができます

ディスクロージャー：スヌーピーのメンテナはこちら

6　 Bostjan Skufca　 2014-11-05

startmon を実行して、その標準出力である Ctrl-C の出力に従うことができます。ここでは、最近の Red Hat 派生ディストロ (RHEL, Fedora, CentOS) で startmon をコンパイルして実行する方法を説明します

sudo yum install git cmake gcc-c++
git clone https://github.com/pturmel/startmon
cd startmon
cmake .
make
sudo ./startmon -e

Debian(とUbuntuなど)では、上記の1行目が変更されます

sudo apt-get install git cmake g++

あるいは、この回答を参照して、 perf-tools の execsnoop スクリプトを試すこともできます。デフォルトでは、最初の8つの引数のみが表示されます(プログラム名を含む9つの引数)

sudo ./execsnoop -a 16

システムへのルートアクセスを持っていない場合、/procをポーリングし続けて、全てをキャッチしてくれることを期待するのがベストですが(キャッチしてくれないでしょうが)、完全性を保つために、これを行うスクリプトを以下に示します(出力を単純化するために重複削除を入れました)。このスクリプトは、CPU (というか、コアの一つ) を 100% 使用しているので、効率が悪いです

function pstail () { python -c 'import os
last=set(os.listdir("/proc")) ; o=x=""
while True:
pids=set(os.listdir("/proc"))
new=pids.difference(last);last=pids
for n in new:
try: o,x=x,[j for j in open("/proc/"+n+"/cmdline")
.read().split(chr(0)) if j]
except IOError: pass
if x and not o==x: print n,x' ; }

pstail

また、execsnoopにパッチを当てて、どの引数がどの引数であるかをより明確に伝えることもできます。grep -v sub.*arg < execsnoop > n && chmod +x n && mv n execsnoop

3　 Silas S. Brown　 2017-02-22

CONFIG_FTRACEとCONFIG_KPROBESからbrendangregg/perf-toolsまで

git clone https://github.com/brendangregg/perf-tools.git
cd perf-tools
git checkout 98d42a2a1493d2d1c651a5c396e015d4f082eb20
sudo ./execsnoop

別の貝殻の上で

while true; do sleep 1; date; done

最初のシェルはフォーマットのデータを表示します

Tracing exec()s. Ctrl-C to end.
Instrumenting sys_execve
PID   PPID ARGS
20109   4336 date
20110   4336 sleep 1
20111   4336 date
20112   4336 sleep 1
20113   4336 date
20114   4336 sleep 1
20115   4336 date
20116   4336 sleep 1

CONFIG_PROC_EVENTS

Sample session:

$ su
# ./proc_events &
# /proc_events.out &
set mcast listen ok
# sleep 2 & sleep 1 &
fork: parent tid=48 pid=48 -> child tid=56 pid=56
fork: parent tid=48 pid=48 -> child tid=57 pid=57
exec: tid=57 pid=57
exec: tid=56 pid=56
exit: tid=57 pid=57 exit_code=0
exit: tid=56 pid=56 exit_code=0

CONFIG_PROC_EVENTS netlink ソケット を介してユーザーランドにイベントを公開します

proc_events.c adapted from: https://bewareofgeek.livejournal.com/2945.html

#define _XOPEN_SOURCE 700
#include <sys/socket.h>
#include <linux/netlink.h>
#include <linux/connector.h>
#include <linux/cn_proc.h>
#include <signal.h>
#include <errno.h>
#include <stdbool.h>
#include <unistd.h>
#include <string.h>
#include <stdlib.h>
#include <stdio.h>

static volatile bool need_exit = false;

static int nl_connect()
{
int rc;
int nl_sock;
struct sockaddr_nl sa_nl;

nl_sock = socket(PF_NETLINK, SOCK_DGRAM, NETLINK_CONNECTOR);
if (nl_sock == -1) {
perror("socket");
return -1;
}
sa_nl.nl_family = AF_NETLINK;
sa_nl.nl_groups = CN_IDX_PROC;
sa_nl.nl_pid = getpid();
rc = bind(nl_sock, (struct sockaddr *)&sa_nl, sizeof(sa_nl));
if (rc == -1) {
perror("bind");
close(nl_sock);
return -1;
}
return nl_sock;
}

static int set_proc_ev_listen(int nl_sock, bool enable)
{
int rc;
struct __attribute__ ((aligned(NLMSG_ALIGNTO))) {
struct nlmsghdr nl_hdr;
struct __attribute__ ((__packed__)) {
struct cn_msg cn_msg;
enum proc_cn_mcast_op cn_mcast;
};
} nlcn_msg;

memset(&nlcn_msg, 0, sizeof(nlcn_msg));
nlcn_msg.nl_hdr.nlmsg_len = sizeof(nlcn_msg);
nlcn_msg.nl_hdr.nlmsg_pid = getpid();
nlcn_msg.nl_hdr.nlmsg_type = NLMSG_DONE;

nlcn_msg.cn_msg.id.idx = CN_IDX_PROC;
nlcn_msg.cn_msg.id.val = CN_VAL_PROC;
nlcn_msg.cn_msg.len = sizeof(enum proc_cn_mcast_op);

nlcn_msg.cn_mcast = enable ? PROC_CN_MCAST_LISTEN : PROC_CN_MCAST_IGNORE;

rc = send(nl_sock, &nlcn_msg, sizeof(nlcn_msg), 0);
if (rc == -1) {
perror("netlink send");
return -1;
}

return 0;
}

static int handle_proc_ev(int nl_sock)
{
int rc;
struct __attribute__ ((aligned(NLMSG_ALIGNTO))) {
struct nlmsghdr nl_hdr;
struct __attribute__ ((__packed__)) {
struct cn_msg cn_msg;
struct proc_event proc_ev;
};
} nlcn_msg;
while (!need_exit) {
rc = recv(nl_sock, &nlcn_msg, sizeof(nlcn_msg), 0);
if (rc == 0) {
/* shutdown? */
return 0;
} else if (rc == -1) {
if (errno == EINTR) continue;
perror("netlink recv");
return -1;
}
switch (nlcn_msg.proc_ev.what) {
case PROC_EVENT_NONE:
printf("set mcast listen ok\n");
break;
case PROC_EVENT_FORK:
printf("fork: parent tid=%d pid=%d -> child tid=%d pid=%d\n",
nlcn_msg.proc_ev.event_data.fork.parent_pid,
nlcn_msg.proc_ev.event_data.fork.parent_tgid,
nlcn_msg.proc_ev.event_data.fork.child_pid,
nlcn_msg.proc_ev.event_data.fork.child_tgid);
break;
case PROC_EVENT_EXEC:
printf("exec: tid=%d pid=%d\n",
nlcn_msg.proc_ev.event_data.exec.process_pid,
nlcn_msg.proc_ev.event_data.exec.process_tgid);
break;
case PROC_EVENT_UID:
printf("uid change: tid=%d pid=%d from %d to %d\n",
nlcn_msg.proc_ev.event_data.id.process_pid,
nlcn_msg.proc_ev.event_data.id.process_tgid,
nlcn_msg.proc_ev.event_data.id.r.ruid,
nlcn_msg.proc_ev.event_data.id.e.euid);
break;
case PROC_EVENT_GID:
printf("gid change: tid=%d pid=%d from %d to %d\n",
nlcn_msg.proc_ev.event_data.id.process_pid,
nlcn_msg.proc_ev.event_data.id.process_tgid,
nlcn_msg.proc_ev.event_data.id.r.rgid,
nlcn_msg.proc_ev.event_data.id.e.egid);
break;
case PROC_EVENT_EXIT:
printf("exit: tid=%d pid=%d exit_code=%d\n",
nlcn_msg.proc_ev.event_data.exit.process_pid,
nlcn_msg.proc_ev.event_data.exit.process_tgid,
nlcn_msg.proc_ev.event_data.exit.exit_code);
break;
default:
printf("unhandled proc event\n");
break;
}
}

return 0;
}

static void on_sigint(__attribute__ ((unused)) int unused)
{
need_exit = true;
}

int main()
{
int nl_sock;
int rc = EXIT_SUCCESS;

signal(SIGINT, &on_sigint);
siginterrupt(SIGINT, true);
nl_sock = nl_connect();
if (nl_sock == -1)
exit(EXIT_FAILURE);
rc = set_proc_ev_listen(nl_sock, true);
if (rc == -1) {
rc = EXIT_FAILURE;
goto out;
}
rc = handle_proc_ev(nl_sock);
if (rc == -1) {
rc = EXIT_FAILURE;
goto out;
}
set_proc_ev_listen(nl_sock, false);
out:
close(nl_sock);
exit(rc);
}

GitHub upsatream

しかし、exec_proc_eventにはデータが少ないので、UIDやプロセス引数などのプロセスデータを取得することはできないと思います。https://github.com/torvalds/linux/blob/v4.16/include/uapi/linux/cn_proc.h#L80 すぐに/procから読み込もうとすることもできますが、プロセスが終了して別のプロセスがそのPIDを取得してしまうリスクがあるので、信頼性がありません

Ubuntu 17.10でテストしました

1　 Ciro Santilli 郝海东冠状病六四事件法轮功　 2018-05-06

また、atopでプロセス別にリソースの使用状況を見ることもできます。時間のパートごとのリソース使用量をログに記録したり、分析したりするのに便利なツールです

0　 Quarind　 2017-07-21

cat ~/.bash_historyにはsystem log viewerがありますが、これはあなたを助けることができます

-4　 Kracekumar　 2011-05-31

スポンサーリンク