在Linux系统中，监控命令执行是系统管理和安全运维的重要环节，通过实时或离线跟踪命令的运行状态、执行时间和资源占用等信息，可以有效排查故障、优化性能并发现异常行为，Linux提供了多种工具和方法来实现对命令执行的监控,涵盖了从简单命令到复杂脚本的多种场景。
基础命令监控工具
-
history命令
history命令记录用户在终端输入的历史命令，通过-c选项可清空历史记录，-a选项将当前会话的历史记录追加到历史文件中，默认情况下，历史记录存储在用户主目录的.bash_history文件中，通过设置HISTTIMEFORMAT环境变量，可以为每条命令添加时间戳，例如export HISTTIMEFORMAT="%F %T "，这样查看历史记录时就能显示命令执行的具体时间，通过修改/etc/profile文件中的HISTSIZE参数，可以控制历史记录的最大条数,默认通常为1000条。 -
last命令
last命令通过读取/var/log/wtmp文件，显示用户登录、注销的历史记录，包括登录终端、登录IP和会话时长等信息，结合-x选项，还可以显示系统关机、重启等事件，对于监控特定用户的命令执行，可以通过last username命令过滤目标用户的登录历史,再结合登录时间定位到具体的终端会话。
实时监控命令执行
-
top和htop命令
top命令可以实时监控系统进程的资源占用情况，包括CPU、内存使用率等，通过按P键按CPU占用排序、按M键按内存占用排序，可以快速定位高资源消耗的进程，htop是top的增强版，支持彩色显示、进程树可视化以及鼠标操作,更便于直观地观察进程的父子关系和资源分配情况。 -
ps命令
ps命令用于查看当前系统的进程状态，结合-ef选项可显示所有进程的详细信息，-aux选项则显示包含其他用户的进程，通过grep命令过滤特定进程，例如ps -ef | grep "nginx"，可以查看nginx相关的进程，若需实时监控进程状态，可结合watch命令，如watch -n 1 "ps -ef | grep nginx",每秒刷新一次进程列表。
（图片来源网络，侵删） -
strace命令
strace用于跟踪进程系统调用的执行情况，通过分析系统调用的参数和返回值，可以定位程序运行中的底层问题。strace -p <进程ID>可监控指定进程的系统调用，-o选项将输出保存到文件，-t选项添加时间戳，-f选项跟踪子进程。
资源与性能监控
-
vmstat命令
vmstat报告进程、内存、分页、IO和CPU等系统的整体性能指标，通过-s选项可显示事件计数，-d选项显示磁盘统计信息。vmstat 1每秒输出一次系统状态，便于观察CPU的空闲率、上下文切换次数和IO等待时间等关键指标。 -
iostat命令
iostat是sysstat包的一部分，用于监控CPU和磁盘IO性能，-c选项显示CPU统计，-d选项显示磁盘统计，-x选项显示扩展统计信息。iostat -xz 2每两秒输出一次磁盘的利用率、响应时间等详细数据。 -
free命令
free命令用于查看系统内存使用情况，-h选项以人类可读的格式显示内存大小（如KB、MB、GB），-m选项以MB为单位显示，通过观察buff/cache列和available列,可以判断系统的内存是否充足。
（图片来源网络，侵删）
日志分析监控
-
/var/log目录下的日志文件
Linux系统的日志文件通常存储在/var/log目录中，如messages（系统日志）、secure（安全日志）、auth.log（认证日志）等，使用grep命令可过滤特定信息，例如grep "sudo" /var/log/secure查看sudo命令的执行记录。tail -f命令可实时跟踪日志文件的变化，如tail -f /var/log/messages。 -
journalctl命令
journalctl是systemd的日志管理工具，用于查看系统日志和内核日志，通过-u选项可过滤特定服务的日志，如journalctl -u nginx；-f选项实时跟踪日志；--since和--until选项可指定时间范围，如journalctl --since "2023-10-01 10:00:00"。
高级监控工具
-
auditd
auditd是Linux审计系统，通过配置audit规则，可以详细监控文件访问、系统调用和命令执行等，使用auditctl -w /path/to/file -p wa -k watch_file监控文件的读写和属性修改，审计结果可通过ausearch命令查询，如ausearch -k watch_file -i。 -
Prometheus + Grafana
对于分布式系统，可通过Prometheus采集监控指标，Grafana进行可视化展示，通过部署node_exporter采集主机指标，或编写自定义exporter监控特定命令的执行时间和资源占用,实现长期监控和历史数据分析。
相关问答FAQs
Q1: 如何监控特定用户在Linux系统中执行的所有命令？
A1: 可通过以下步骤实现：
- 修改目标用户的shell配置文件（如.bashrc），添加
export PROMPT_COMMAND='history -a'和export HISTTIMEFORMAT='%F %T '，确保命令记录实时写入并带时间戳。 - 检查
/var/log/secure或/var/log/auth.log，通过grep "sudo" /var/log/secure查看sudo命令执行记录。 - 使用auditd工具，配置规则
auditctl -a exit,always -F arch=b64 -S execve -F uid=<用户ID>，监控该用户的所有命令执行，并通过ausearch -u <用户ID> -i查询审计日志。
Q2: 如何实时监控一个长时间运行的命令的资源占用情况？
A2: 可结合以下方法：
- 使用
top -p <进程ID>或htop -p <进程ID>实时查看进程的CPU和内存占用，需先通过ps -ef | grep <命令名>获取进程ID。 - 使用
time <命令>命令执行时间分析，但仅能显示总时间；对于长时间运行的命令，可使用/usr/bin/time -v <命令>获取详细的资源统计（如内存峰值、IO操作次数）。 - 使用
strace -p <进程ID> -c统计系统调用的次数和时间消耗，或perf top -p <进程ID>分析性能热点,适用于定位资源瓶颈。
