*は、イベントの名前です。*はイベント引数のリストです。システムコールの場合、これらはシステムコール引数に対応する傾向がありますが、常にそうとは限りません。一部のシステムコール引数は、単純化またはパフォーマンス上の理由で除外されています。+」を実行することにはほとんど価値がありません。これは、大量の情報が流入しているためです。次の構文を使用してコマンドにオプションとフィルターを適用できます。[filter]以下を使用して、使用可能なフィルターの完全なリストを表示できます。-lいくつかのクラスまたはカテゴリにまたがる広範なフィルタのリストがあります。クラスの一部を次に示します。*:FD番号やFD名などのファイル記述子(FD)情報でフィルターします。*:イベントを生成したプロセスのIDや名前などのプロセス情報でフィルターします。*:イベント番号や時間などのイベント情報でフィルターします。*:ユーザーID、ユーザー名、ユーザーのホームディレクトリ、ログインシェルなどのユーザー情報をフィルターします。*:グループIDや名前などのグループ情報でフィルターします。*:ファシリティや重大度などのsyslog情報をフィルターします。*:ポーリングイベントのファイル記述子をフィルターします。*フィルターから始めましょう。このコマンドは、「情報」レベルでsyslogに送信されたメッセージを表示します。+`を押してコマンドを強制終了します。簡単に解釈できるはずの出力は、次のようになります。user単一のプロセスでフィルタリングすることもできます。`テキストエディターを使用する必要があります。+`を使用してテキストファイルを開きます。数文字を書いて、ファイルを保存します。その後、元の端末に戻ります。次のような出力が表示されます。+`を入力してコマンドを強制終了します。+`を使用してシステムイベントのリアルタイムビューを取得することは、常にそれを使用する最良の方法ではありません。幸いなことに、別の方法があります-後で分析するためにイベントをファイルにキャプチャします。方法を見てみましょう。`を使用してシステムイベントをファイルにキャプチャすると、それらのイベントを後で分析できます。*オプションを渡し、次のようにターゲットファイル名を指定します。+`を押すまで、生成されたイベントをターゲットファイルに保存し続けます。時間とともに、そのファイルは非常に大きくなる可能性があります。*オプションを使用すると、Sysdigでキャプチャするイベントの数を指定できます。目標数のイベントがキャプチャされると、終了します。300個のイベントをファイルに保存するには、次のように入力します。*オプションを使用してキャプチャを特定のサイズの小さなファイルに分割することをお勧めします。ローカルストレージを圧倒しないように、Sysdigに保存されたファイルの一部のみを保持するように指示できます。Sysdigは、1つのコマンドで、ファイルのローテーションを使用してイベントをログにキャプチャすることをサポートしています。*オプションの機能です)、次のコマンドを実行します。+`を使用してファイルを一覧表示すると、次のような出力が5つのログファイルと共に表示されます。sysdig-trace.scap4リアルタイムキャプチャと同様に、保存されたイベントにフィルターを適用できます。+」によって生成された200個のイベントを保存するには、次のコマンドを入力します。`でファイルを開き、テキストを入力するかファイルを保存してイベントを生成します。+」にキャプチャされます。次のようにフィルターを適用します。+`を使用してシステムアクティビティをファイルに保存すると、さらに多くのことができるようになりますが、これらの例はその方法についてかなり良いアイデアを与えてくれるはずです。これらのファイルを分析する方法を見てみましょう。+`コマンドに渡すだけです。.scapこれは、ファイルのコンテンツ全体を画面にダンプします。これは、特にファイルが大きい場合、実際には最適なアプローチではありません。幸いなことに、書き込み中に適用したファイルを読み取るときに同じフィルターを適用できます。+`トレースファイルを読み取り、書き込みイベントなどの特定のタイプのイベントのみを表示するには、次のコマンドを入力します。evt.type=write出力は次のようになります。ファイルに保存されるすべてのイベントは書き込みイベントであることがわかっているため、コンテンツを表示してみましょう。evt.type=writeこれは部分的な出力です。イベントをキャプチャしたときにサーバーでSSHアクティビティがあった場合、次のように表示されます。22.22.22.22:ssh*が含まれていることに注意してください。これらは、クライアントの外部IPアドレス「11.11.11.11」からサーバーのIPアドレス「22.22.22.22」に至るイベントです。これらのイベントはサーバーへのSSH接続を介して発生したため、これらのイベントは予期されています。見つけるのは簡単です。Sysdigで使用できる比較演算子は多数あります。