auditd监控命令或者文件

创建一个审计规则来监控 postsuper 的执行情况（对于未来的事件）

sudo auditctl -a always,exit -F arch=b64 -S execve -F exe=/usr/sbin/postsuper -k postsuper_exec

查询审计日志以查找特定时间点的事件:

sudo ausearch -k postsuper_exec -ts 10:14:00 -te 10:15:00

如果目标命令有执行就可以查询到ppid和pid:

通过查询父进程的id可以跟踪到想要的结果,涉及隐私,这里就不展示了:

ausearch -p 32551