Comando Unix / Linux para ver processos finalizados ou eliminados

Question

Existe uma maneira de ver processados que acabaram de ser executados ou foram mortos há um certo tempo?

Por exemplo, ps -ef mostrará todos os processos em execução, mas se um processo for concluído, ele não será mais retornado por esse comando. Então, por exemplo, se eu quisesse ver quais processos (com seus comandos) estavam rodando há uma hora, há algum comando para fazer isso? Ou um log de processos não está mais em uso?

Tentando investigar uma falha há uma hora e gostaria de obter o máximo de informações possível!

Felicidades

    

Answer 1

Você pode encontrar essas informações no log do sistema /var/log/syslog e /var/log/messages

Dependendo do processo, você poderá encontrar algumas informações sobre o horário de início, etc.

ex:

Feb  1 12:31:21 centos7 NetworkManager[809]: <info> dhclient started with pid 1319

Se você estiver investigando algum uso de recursos, poderá registrá-lo usando pidstat e gravá-lo em um arquivo de log.

Além disso, alguns aplicativos gravam um arquivo PID , portanto, para o futuro, você também pode registrá-lo.

    

Answer 2

Se você não tiver as coisas configuradas com antecedência, não conseguirá o que precisa, mas o psacct acompanhará os processos, mas você precisará garantir o armazenamento. Então você usaria lastcomm e todos os tipos de ferramentas para ver o que estava sendo executado quando e por qual usuário. A auditoria também pode, se você tiver suas regras configuradas corretamente.

Mas se você não tiver essas coisas configuradas com antecedência, a menos que os programas façam seu próprio registro, talvez você não consiga encontrar muita informação.