![プロセスが開始され、プロセスにPIDが割り当てられた場合、Linuxは記録しますか？このログはどこにありますか？ [コピー]](https://linux33.com/image/24202/%E3%83%97%E3%83%AD%E3%82%BB%E3%82%B9%E3%81%8C%E9%96%8B%E5%A7%8B%E3%81%95%E3%82%8C%E3%80%81%E3%83%97%E3%83%AD%E3%82%BB%E3%82%B9%E3%81%ABPID%E3%81%8C%E5%89%B2%E3%82%8A%E5%BD%93%E3%81%A6%E3%82%89%E3%82%8C%E3%81%9F%E5%A0%B4%E5%90%88%E3%80%81Linux%E3%81%AF%E8%A8%98%E9%8C%B2%E3%81%97%E3%81%BE%E3%81%99%E3%81%8B%EF%BC%9F%E3%81%93%E3%81%AE%E3%83%AD%E3%82%B0%E3%81%AF%E3%81%A9%E3%81%93%E3%81%AB%E3%81%82%E3%82%8A%E3%81%BE%E3%81%99%E3%81%8B%EF%BC%9F%20%5B%E3%82%B3%E3%83%94%E3%83%BC%5D.png)
Ubuntuサーバーが起動すると、次のメッセージが表示されますkernel: [11.895392] init: failsafe main process (631) killed by TERM signal。手続きがどうなるのか知りたいのですが、どこで見るべきかわかりませんね。 myを検索すると、syslogプロセスkernel.logが開始され、識別子（PID）が提供されるという証拠はありません。
スタートアップメッセージ（安全デバイスのマスタープロセスが終了しました...）を調べたいのですが、まず次の質問に答える必要があります。プロセスの開始時にどこに記録され、プロセスに割り当てられたPIDも記録されますか？
後で参照するためにプロセスがPIDファイルに書き込むことを知っていますが、プロセスが終了すると、以前にどのPIDがあったかがわかりますか?
答え1
まず、メッセージにはすでにプログラム名が含まれています。
kernel: [11.895392] init: failsafe main process (631) killed by TERM signal
failsafeこれは、pidを持つプログラムが信号を631受信したことを意味します。TERM
元の質問に答えるために、ほとんどのLinuxディストリビューションはデフォルトで作成されたプロセスのpidを記録しませんが、次のものを使用できます。監査フレームワークそして、生成されたすべてのプロセスを記録するために必要なルールを作成します。https://www.wzdftpd.net/docs/selinux/audit.htmlこれらのルールの紹介が提供され、始めるのに役立ちます。
答え2
以下を使用して、新しく実行されたコマンド/プロセスを記録できます。スヌーピー。
単純なロガーが必要で、セキュリティ/監査ソリューションを探していない場合は、Snoopyを選択できます。
公開：スヌーピーマネージャーはここにあります。