Регистрировать каждый вызов каждой программы SUID?

Я хотел бы иметь файл журнала, который содержит запись для каждого запуска пользователя любой suid-программы, содержащую имя пользователя, программу и любые аргументы командной строки, переданные ей. Есть ли стандартный способ добиться этого в Linux?

Вы можете регистрировать все вызовы определенного исполняемого файла (setuid или нет) через подсистему аудита . Документация довольно скудная; начните со страницы руководства audctl или, возможно, с этого руководства . В последних выпусках поставляется auditdпакет. Установите его и убедитесь, что auditdдемон работает, затем выполните

auditctl -A exit,always -F path=/path/to/executable -S execve

и наблюдайте за тем, как звонки регистрируются /var/log/audit/audit.log(или там, где ваш дистрибутив настроил это).