syslog или я не о том думаю?

вообще не то

1. eBPF/SystemTap. См. execsnoop.
2. кто делает dns запрос (комментарий)

Audit, см: https://blog.selectel.com/auditing-system-events-linux/

gdb, strace

/proc/pid/cmdline

/proc/pid/exe

/proc/pid/status

Пишешь скрипт на питоне за 30 сек и проблема решена.

я когда гуглил по execsnoop, который выше посоветовали, то тоже наткнулся на audit. Так вот оказывается для чего нужна штука, которую я из системы выпиливаю сразу после установки.

Короче мне нужно что-то типа опции «-c» для netstat, но для ps

коннекты искать в net/ip_conntrack

+1

.

То же +1.

Пишешь скрипт на баше за 30 сек и проблема решена.

Поправил, не стоит благодарности.

python не знаю, если бы знал, то готовые решения не спрашивал
можно и на bash написать, но боюсь, что скрипт, который будет постоянно дёргать awk, будет работать медленно, и будет не успевать отловить процесс, которй работает долю секунды, это ж по сути мне нужно в режиме реального времени читать /proc/pid/cmdline всех процессов

На питоне можно 10 раз в сек проверять дельты /proc. Разницу будет легко заметить, а операция listdir дешевая.

например https://github.com/hakavlad/nohang-extra/blob/master/proc2log

– просто логирует рождение процессов. Можно доработать под задачи.