[RHEL] ausyscall 시스템콜 이름과 번호 변환

부제: 감사 룰이나 로그에 나오는 시스템콜 번호를 이름으로, 이름을 번호로

ausyscall open        # 이름 -> 번호
ausyscall 2           # 번호 -> 이름
ausyscall --dump      # 아키텍처별 전체 시스템콜 표

$ ausyscall open
open               2
openat             257
openat2            437

$ ausyscall 2
open

ausyscall은 커널 시스템콜의 이름과 번호를 서로 변환한다. 감사 룰을 -S openat처럼 이름으로 쓰거나, 로그에 syscall=257 같은 번호가 찍혔을 때 그게 무슨 호출인지 되짚을 때 쓴다. 순수 조회 도구라 커널 상태를 건드리지 않아 컨테이너에서도 안전하게 동작한다. 아키텍처마다 번호가 다르므로 표는 현재 CPU 기준으로 나온다.

이렇게도 쓴다

현재 아키텍처의 전체 시스템콜 표를 덤프한다.

ausyscall --dump

 

특정 아키텍처 기준으로 조회한다.

ausyscall --i386 open

 

이름에 부분 일치하는 시스템콜을 모두 본다.

ausyscall open

 

전체 시스템콜 개수를 센다(조합).

ausyscall --dump | tail -n +2 | wc -l

 

특정 번호 근처 시스템콜을 확인한다(조합).

ausyscall --dump | grep -w 257

 

로그의 syscall 번호를 즉석에서 이름으로 바꾼다(조합).

ausyscall $(echo 59)   # execve