22.2. execsnoop를 사용하여 시스템 프로세스 검사

프로세스

1. 하나의 터미널에서 execsnoop 프로그램을 실행합니다.

   # /usr/share/bcc/tools/execsnoop

2. ls 명령의 수명이 짧은 프로세스를 생성하려면 다른 터미널에서 다음을 입력합니다.

   $ ls /usr/share/bcc/tools/doc/

   execsnoop 를 실행하는 터미널에는 다음과 유사한 출력이 표시됩니다.

   PCOMM	PID    PPID   RET ARGS
   ls   	8382   8287     0 /usr/bin/ls --color=auto /usr/share/bcc/tools/doc/

   execsnoop 프로그램은 시스템 리소스를 사용하는 새 프로세스마다 출력 행을 출력합니다. ls 와 같이 곧 실행되는 프로그램의 프로세스도 감지할 수 있으며 대부분의 모니터링 도구는 등록하지 않습니다. execsnoop 출력에는 다음 필드가 표시됩니다.

   PCOMM

   상위 프로세스 이름입니다. (ls)

   PID

   프로세스 ID입니다. (8382)

   PPID

   상위 프로세스 ID입니다. (8287)

   RET

   프로그램 코드를 새 프로세스로 로드하는 exec() 시스템 호출(0)의 반환 값입니다.

   ARGS

   시작된 프로그램의 인수와 관련된 위치입니다.

   자세한 내용은 시스템의 /usr/share/bcc/tools/doc/execsnoop_example.txt 파일 및 exec Cryostat 도움말 페이지를 참조하십시오.