| 用途 | 命令级执行溯源 |
|---|---|
| 检索 | ausearch -sc execve / -k 标记关键字 |
检索示例
检索示例
ausearch -sc execve -ts recent | tail -40
ausearch -k susp_exec -i | grep -E 'proctitle|comm='配合 SYSCALL 记录里的 ppid/uid 判断执行链与身份。
auditd 进程执行记录查证
auditd 的 EXECVE 记录保留进程执行的参数序列，是 Linux 上回答"谁执行了什么命令"的直接证据。
易错点
- 默认规则未覆盖全部执行路径，缺失不等于未发生
- 参数里的换行与空格会被编码，解读前先还原
数据来源与参考
- auditd 手册（ausearch 与 EXECVE 记录）