Autrace – Công cụ kiểm tra, thống kê, theo dõi các tiến trình Linux

Autrace là một tiện ích cho phép bạn chạy một quy trình và lưu trữ thông tin quy trình kiểm tra trong một File /var/www/audit/audit.log bằng cách bao gồm các quy tắc kiểm toán.

Để hoạt động, trước tiên bạn cần xóa tất cả các quy tắc kiểm toán hiện có.

Cú pháp sử dụng autrace

# autrace -r program program-args

Nếu bạn có bất kỳ quy tắc kiểm tra nào, chế độ tự động sẽ hiển thị lỗi, ví dụ:

Trên CentOS

# autrace /usr/bin/df

Trên Debian:

# autrace /bin/df

Trước tiên, bạn cần xóa tất cả các quy tắc kiểm tra bằng lệnh sau:

# auditctl –D

Sau đó hệ thống sẽ chạy autrace với chương trình bạn muốn. Trong ví dụ ở đây, chúng tôi đang theo dõi cách câu lệnh df thực thi, hiển thị trạng thái sử dụng của hệ thống File.

Trên CentOS:

# autrace /usr/bin/df -h

Trên Debian:

# autrace /bin/df -h

Từ ảnh chụp màn hình ở trên, bạn có thể tìm thấy tất cả các mục nhật ký (mục nhật ký – dòng nhật ký) cho sự nghịch ngợm, thăm dò từ File nhật ký bằng cách sử dụng chức năng tìm kiếm như sau.

Trên Centos:

# ausearch -i -p 2658

Phía trong:

-Tôi : Cho phép diễn giải các giá trị số thành văn bản.

-p : Nhập ID quy trình để tìm kiếm

Trên Debian:

# ausearch -i -p 6796

Để xuất một báo cáo chi tiết, bạn có thể tạo một câu lệnh kết hợp ausearch và aureport như sau:

Trên Centos

# ausearch -p 2678 --raw | aureport -i –f

Phía trong:

–raw : Yêu cầu ausearch đưa tất cả các kết quả thô đến cảng hàng không

-f : Cho phép báo cáo các File af_unix và ổ cắm

-Tôi : Cho phép diễn giải các giá trị số thành văn bản.

Trên Debian

# ausearch -p 6796 --raw | aureport -i –f

Và bạn cũng có thể sử dụng lệnh sau để giới hạn các cuộc gọi tổng hợp thành một, điều này rất cần thiết để phân tích tài nguyên sử dụng của quy trình df.

Trên Centos

# autrace -r /usr/bin/df -h

Trên Debian

# autrace -r /bin/df -h

Nếu bạn từng tự động xác thực một chương trình vào tuần trước, điều đó có nghĩa là rất nhiều thông tin được đưa vào File nhật ký kiểm tra. Để tạo báo cáo chỉ ghi lại các sự kiện diễn ra hôm nay, bạn có thể sử dụng cờ -ts của ausearch để đặt thời gian bắt đầu chính xác cho việc truy xuất thông tin:

Trên Centos

# ausearch -ts today -p 2768 --raw | aureport -i –f

Trên Debian

# ausearch -ts today -p 6796 --raw | aureport -i -f

Đó là tất cả những gì về cơ bản bạn có thể kiểm soát, thống kê và theo dõi quy trình Linux nào sử dụng công cụ autrace. Để biết thêm thông tin chi tiết, bạn có thể đọc các trang nam.

>> Xem thêm: So sánh giữa Ubuntu và Windows