Условия и паспорт источника
Сначала установите хост, архитектуру, версию ядра и audit-userspace, фактический файл регистрации, время и границы копии. Правило аудита должно охватывать исследуемое исполнение; наличие auditd не обещает полного журнала запусков. Форма примера соответствует Linux 6.12 / x86-64. Для Альт и Astra Linux сначала сверяйте профиль установленной редакции, пакеты и политику. Не переносите настройки RHEL или другой редакции ОС только по общему названию Linux.
Чтение и отбор
Работайте с сохранённой raw-копией, команды приведены во вкладке «Примеры». Первый отбор ищет события с типом EXECVE; ausearch может вернуть также остальные записи этих событий. Затем уточните узел, период и timestamp/serial. Второй пример требует, чтобы node действительно присутствовал. Если его нет, подтвердите происхождение файла отдельно. Один serial без источника и временной области не является глобальным ключом. Не заменяйте групповую выборку поиском одной строки по слову команды.
Как прочитать группу примера
Все пять строк относятся к одному узлу и одинаковому msg=audit. EXECVE задаёт два аргумента: id и -u; путь /usr/bin/id берётся из SYSCALL.exe. PID 4200 и родитель 4100 относятся к этому временному контексту. auid=1000 отличается от uid/euid=0: сохранён контекст входа, а выполнение произошло с другой identity. Это иллюстрация различия ролей, не доказательство использования sudo конкретным человеком. В PATH показан один объект, и items согласован с этим фрагментом.
Аргументы, hex и результат
Сохраняйте исходные байты рядом с декодированным представлением. Во второй иллюстрации hex содержит пробел внутри одного аргумента; нельзя превращать его в два элемента argv. Длинные значения могут иметь несколько фрагментов, поэтому проверяйте argc и целостность набора. PROCTITLE первого примера декодируется в id, разделитель NUL и -u. Он не доказывает отсутствие других аргументов в иных событиях. success=yes/exit=0 означает успех execve в показанном контексте; завершение id и его вывод здесь не наблюдались.
Интерпретация и следующий шаг
Сопоставьте сессию и контекст входа с соседними USER_AUTH/USER_LOGIN, а изменение identity — с доступными журналами sudo или иной привилегированной системы. Сопоставление ведите на одном узле и в ограниченном временном окне. Текущее имя пользователя при разборе копии на другом компьютере может отличаться от исторического: храните числовые идентификаторы. Для вывода о действии программы нужны дальнейшие записи доступа к объектам либо журнал приложения. Успешный запуск сам по себе не доказывает изменение файла или компрометацию.
Если записи или части события нет
У ausearch код завершения 1 может означать отсутствие совпадений, ошибку аргументов или ошибку доступа или чтения. Сохраните stderr и сначала подтвердите, что нужный raw-файл прочитан. Проверьте, охватывали ли правила этот вызов и архитектуру, доступен ли нужный узел/namespace, не потеряны ли файлы ротации и записи доставки. Уточните фильтры коллектора и признаки потерь Audit. Отдельно отметьте отсутствие SYSCALL, PATH или части аргументов: недостающие поля нельзя достроить из похожего события. Пустая выдача означает ограничение доступных свидетельств, пока не проверены политика, период и сохранность; она не доказывает отсутствия исполнения.