O log do Linux quando um processo é iniciado e o PID que é atribuído a ele? Onde posso encontrar esse log? [duplicado]

Question

Quando o meu servidor Ubuntu é inicializado, vejo uma mensagem que diz: kernel: [11.895392] init: failsafe main process (631) killed by TERM signal . Eu gostaria de saber qual é o processo, mas não sei onde procurar. Quando pesquiso meus syslog e kernel.log , não vejo nenhuma evidência de processos sendo iniciados e recebendo um identificador (PID).

Gostaria de investigar minha mensagem de inicialização (processo principal à prova de falhas morto ...) mas primeiro, preciso responder à pergunta: Quando um processo é iniciado, onde está registrado e o PID atribuído a ele é logado também?

Eu entendo que um processo irá escrever um arquivo PID para referência mais tarde, conforme necessário, mas uma vez que o processo é eliminado, posso descobrir qual PID ele costumava ter?

    

Answer 1

Antes de mais nada, sua mensagem já contém o nome do programa:

kernel: [11.895392] init: failsafe main process (631) killed by TERM signal

Isso significa que o programa failsafe com o pid 631 recebeu um sinal TERM .

Para responder à sua pergunta original, nenhuma maioria das Distribuições Linux registra os pids dos processos criados por padrão, mas você pode usar o estrutura de auditoria e crie as regras necessárias para registrar todos os processos criados. O link fornece uma introdução a essas regras e deve ajudá-lo a começar.

    

Answer 2

Você pode registrar comandos / processos recém-executados usando Snoopy .

Se você precisa de um criador de logs simples e NÃO está procurando uma solução de segurança / auditoria, então o Snoopy pode ser isso.

Divulgação: mantenedor do Snoopy aqui.