auditd不支持按动态PID实时过滤execve，但可通过-F pid=（静态）、-F auid=（登录会话）或-F exe=（可执行路径）精准审计特定进程及其子进程。
在 Linux 中，auditd 本身不支持直接按“当前进程 PID”动态过滤 execve 系统调用（因为规则在内核审计子系统中注册时，PID 尚未存在或已变化），但可以通过组合使用 -F pid=（静态 PID）或更实用的 -F auid= / -F uid= + -F exe= 等字段，再配合启动时捕获目标进程的 PID，实现对**特定进程及其子进程**的 execve 审计。以下是可靠、可落地的操作方法：
一、确认 auditd 已启用并支持 execve 规则
确保系统已安装并运行 auditd：
-
sudo systemctl is-active auditd应返回active - 检查内核是否启用 execve 审计：
sudo auditctl -s | grep "enabled"，若为2表示 syscall 审计已开 - 如未启用，临时开启：
sudo auditctl -e 2（需 root；-e 2表示锁定规则，防止绕过）
二、获取目标进程 PID 并添加精确 execve 规则
注意：auditd 的 -F pid= 只匹配**规则添加时刻该 PID 对应的进程**，且不自动跟踪其 fork 出的子进程。因此适用于短期、确定生命周期的进程（如刚启动的守护进程或调试中的命令）：
- 启动目标程序并记录 PID：
myapp & echo $!或pgrep -f "myapp" | head -n1 - 添加 execve 审计规则（仅记录该 PID 发起的 execve）：
sudo auditctl -a always,exit -F arch=b64 -F pid=12345 -S execve（x86_64 系统）sudo auditctl -a always,exit -F arch=b32 -F pid=12345 -S execve（兼容 32 位调用） - 验证规则已加载：
sudo auditctl -l | grep execve
三、更健壮方案：按登录会话（auid）或可执行路径过滤
若目标进程由某用户启动（如运维人员调试脚本），推荐用 auid（account login UID，不可被子进程修改）：
- 查当前终端的 auid：
awk -F: '/^auid=/ {print $2}' /proc/self/attr/current或id -u -r（通常等于登录 UID） - 添加规则，审计该用户所有 execve：
sudo auditctl -a always,exit -F arch=b64 -F auid=1001 -S execve - 若只想审计某程序（如
/usr/bin/python3）启动的 execve 链：sudo auditctl -a always,exit -F arch=b64 -F exe="/usr/bin/python3" -S execve
四、查看与分析 execve 审计日志
execve 日志包含完整参数（argc, argv[], envp[]），默认记录在 /var/log/audit/audit.log：
- 实时监控：
sudo ausearch -m execve --start recent -i - 过滤指定 PID 的 execve 记录：
sudo ausearch -m execve -p 12345 -i - 提取命令行字符串（需
ausearch+aureport或解析）：sudo aureport -m -i --start today | grep execve - 关键字段说明：
exe=调用 execve 的程序路径，cwd=当前工作目录，cmd=完整命令行（若未被截断）
实际部署建议：优先使用 auid 或 exe 过滤，避免依赖瞬态 PID；如必须绑定 PID，请在进程启动后立即加规则，并在进程退出前用 auditctl -d 删除，防止规则堆积。规则持久化可写入 /etc/audit/rules.d/ 下的 .rules 文件，重启 auditd 生效。
