Process accounting do kernel Linux como fonte forense complementar ao bash_history
Um diário do SANS ISC detalha o recurso de process accounting do kernel Linux, que registra automaticamente todo processo executado no sistema — inclusive fora de sessões interativas de shell, onde o bash_history nada captura. O autor mostra como ativar o recurso com o pacote acct e consultar os registros com lastcomm e sa, posicionando a técnica como complemento (não substituto) a outras fontes de auditoria.
Fonte ↗