id процесса, который шлет пакеты на удаленный хост.

Никак.

udp может слать кто угодно. Может оказаться, что тот хост вообще ничего не посылает сислогу.

Rsyslog фиксирует хостнейм. Неужели нельзя отследить по destination?

Обычно на удаленном хосте это syslog/rsyslogd/syslog-ng (если уверен, что именно эта машина шлет данные).

А от какого процесса идут сообщения - смотри в самом сообщении.

Не все так просто. Принимает rsyslog. А слать может кто угодно По порту 514 в моем случае. Мне нужно на хосте узнать какие процессы шлют конкретному ip.

lsof

Настроить правило в auditd или прописать в iptables ″-j LOG --log-uid″. Но, если шлёт какой-нибудь скрипт, и для отправки сообщения (udp-пакета) запускается отдельный процесс, то один pid мало что даст.

Странный у тебя хост, на котором кто-угодно может слать сообщения прямо в сеть :) Нормальный софт обычно так не работает.

Вариант с «iptables -j LOG --log-uid» тебе уже подсказали.

Если это действительно с данного хоста отправляется сообщение, то можно попробовать посмотреть какому процессу пренадлежит порт отправителя ( если он постоянный) хотя бы через «fuser -vn udp NNNN»

всем спасибо, помог lsof -i @host