shutdown: shutting down for system halt

Отвечу сам себе

# ausearch -i -m SYSTEM_SHUTDOWN
type=SYSTEM_SHUTDOWN msg=audit(10/31/2014 19:14:35.759:12) : user pid=960 uid=root auid=root ses=1 subj=unconfined_u:unconfined_r:shutdown_t:s0-s0:c0.c1023 msg='init exe=/sbin/shutdown hostname=? addr=? terminal=tty1 res=success'

И что оно кроме PID'а дало? При новом старте системе 99% вероятность, что он не будет 960.

ну так я готов выслушать более толковые предложения. а информации в этом варианте не так уж мало - там в логе еще есть полезности, которые могут помочь. а так конечно в линуксе с этим очень печально оказалось - в стандартный лог вообще ничего не пишется - выключаемся и все тут, кто, зачем, почему? да кому какое дело.

ну так я готов выслушать более толковые предложения

sudo mv /sbin/shutdown /sbin/shutdown.bak
sudo echo 'PARENT="$PPID;" и потом распарсить /proc/$PPID/cmdline, вычленить инфу, > /var/log/whokilledkenny.log' > /sbin/shutdown
sudo  chmod +x /sbin/shutdown

И ждите ребута.

И что оно кроме PID'а дало?

По этому PID можно в логе поискать. Вдруг оно расписалось ?

И ждите ребута.

ну да, назад в будущее? как только машину времени изобретут, так сразу.

Гы, так если было один раз в прошлом и не собирается повторяться в будущем, то кроме старого пида вы ничего не можете знать.

то кроме старого пида вы ничего не можете знать.

ну вот такой он, дефолтный энтерпрайз линукс, где даже невозможно выяснить кто или что перезагрузили систему.