ppid 대신 ppid 이름을 인쇄하도록 auditd를 어떻게 구성합니까?
운영체제는 데비안입니다. 시스템 재부팅이 무엇인지 확인하기 위해 auditd를 설정했습니다. 다음과 같은 규칙이 있습니다. -a exit,always -F arch=b64 -S execve -F path=/bin/systemctl -k debug_test create 규칙은 /usr/sbin/rebootSymlink이기 때문에 작동하지 않지만 /bin/systemctl이 규칙은 잘 작동하며 재시작 명령이 실행될 때마다 캡처합니다. 그런 다음 다음 명령을 사용하여 이러한 재시작을 검색할 수 있습니다 ...