Як реєструвати всі системні виклики, здійснені процесом, та всіх його нащадків за допомогою аудиту

я можу зробити

auditctl -a always,exit -S all -F pid=1234

Для реєстрації всіх системних викликів, здійснених за допомогою pid 1234 та:

auditctl -a always,exit -S all -F ppid=1234

Для своїх дітей, але як я також охоплюю онуків та їх дітей (теперішнє та майбутнє)?

Я не можу покластися на (e) uid / (e) gid, які змінюються.

(зауважте, що використання straceтакож не є варіантом)

Просто пропонуючи щось, не маючи жодного способу спробувати це зараз ... але просто здогадуватися з самої посади

Ось пропозиція рішення:

Припустимо, що найвищий ідентифікатор процесу знаходиться в $ pid, а також, що в Linux він ps -Tвидає дерево процесів (на даний момент я не можу мати доступ до Linux)

for eachpid in $(ps -T "$pid" | awk '{print $1}' | grep -v 'PID')
do
   auditctl -a always,exit -S all -F pid=$eachpid  >somelog_${eachpid}.log 2>&1
done

Звичайно, замініть ps -T "$pid"на еквівалент для linux, якщо той не працює на Linux (або знайдіть його, збудивши вихід "pstree -p", pid буде між дужками)