Je peux faire
auditctl -a always,exit -S all -F pid=1234
Pour enregistrer tous les appels système effectués par le pid 1234 et:
auditctl -a always,exit -S all -F ppid=1234
Pour ses enfants, mais comment puis-je couvrir les petits-enfants et leurs enfants (actuels et futurs)?
Je ne peux pas compter sur (e) uid / (e) gid qui changent.
(notez que l'utilisation strace
n'est pas non plus une option)
strace -s
^^ mais ensuite j'ai vu qui demandait et j'ai tout de suite su "il le sait déjà!") ... Stéphane, pouvez-vous peut-être: 1) construire la liste des pids en utilisant l'option "tree" de ps, 2) lancer auditctl (s) sur tous les pids listés dans l'arborescence? (c.-à-d., pouvez-vous avoir plusieurs "pid = ...."? ou plusieurs auditctl, chacun sur un?) ou la manière "stupide": auditctl tout, et une sorte d'egrep sur le "pid | pid | pid" si ils apparaissent sur chaque ligne?) (mise en garde: je n'ai pas accès à linux atm, donc je n'ai aucune idée de la façon dont les infos apparaissent)