proto.lib

auditd: Ghi lại Ai Làm Gì tại ranh giới syscall

Luật audit nạp vào kernel qua auditctl khớp syscall theo số hiệu/đối số (watch trên một path, hoặc exit rule lọc theo uid/success), kernel phát sinh các record SYSCALL/PATH/CWD gắn cùng một event id rồi audit daemon (auditd) ghi xuống log, mỗi rule có thể gắn thêm -k key để tra cứu sau.

Operating SystemsNâng cao2026-08-20
auditd: Ghi lại Ai Làm Gì tại ranh giới syscall

Tags

#auditd#audit#auditctl#syscall#security-logging#watch-rule#kernel

Tài liệu tham khảo

Mở rộng

Animation gốc là một file HTML tự chứa, có thể nhúng lại ở bất kỳ trang nào khác. Mở file gốc

Liên quan

Operating SystemsNâng cao

Latency Nice và bộ lập lịch EEVDF

EEVDF thay CFS bằng cách gán mỗi task một virtual deadline dựa trên trọng số (nice) và một latency-nice hint riêng: task latency-sensitive được cấp time slice ngắn hơn và deadline sớm hơn để được chọn chạy trước, trong khi task throughput vẫn giữ slice dài để giảm chi phí chuyển ngữ cảnh.

#eevdf#scheduler#latency-nice#virtual-deadline
Operating SystemsNâng cao

io_uring: SQPOLL và registered buffers — loại syscall khỏi I/O path

io_uring dùng hai ring buffer dùng chung (SQ và CQ) giữa user space và kernel để xếp hàng loạt request và gặt kết quả mà không cần syscall cho từng thao tác; với SQPOLL, một kernel thread liên tục poll ring nên ngay cả io_uring_enter() cũng có thể bỏ qua, còn registered files/buffers giúp kernel bỏ luôn bước tra cứu fd/pin trang mỗi lần.

#io-uring#sqpoll#syscall#ring-buffer
Operating SystemsNâng cao

Chi phí của các bản vá speculative execution

Các cuộc tấn công thực thi suy đoán (Spectre/Meltdown) cho phép một ngữ cảnh dò ra dữ liệu của ngữ cảnh khác qua kênh phụ cache, nên kernel chèn các rào (barrier), flush và cách ly không gian địa chỉ tại những biên quan trọng như syscall/context switch và guest/host — mỗi rào đều tốn chu kỳ CPU thật.

#spectre#meltdown#speculative-execution#syscall