Cómo saber qué procesos se ejecutan en Linux: guía completa para identificar, controlar y detener procesos sospechosos

Saber qué procesos se ejecutan en Linux es una habilidad esencial para cualquier administrador, usuario avanzado o analista de seguridad. Cada servicio web, base de datos, tarea programada, sesión SSH, script, contenedor o aplicación gráfica se ejecuta como uno o más procesos. Si no sabes verlos, entenderlos y detenerlos correctamente, puedes perder control del sistema.

Linux ofrece herramientas muy potentes para esta tarea: ps, top, htop, pgrep, pstree, systemctl, journalctl, lsof, ss, strace y el sistema de archivos /proc. Red Hat documenta que comandos como ps ax muestran PID, terminal, estado, tiempo acumulado y comando; mientras que top ofrece una vista dinámica con CPU, memoria, prioridad, estado y consumo por proceso.

1. Qué es un proceso en Linux

Un proceso es una instancia de un programa en ejecución. Cuando abres una terminal, ejecutas Nginx, conectas por SSH, lanzas un script Python o inicias una base de datos, Linux crea procesos con identificadores, usuarios, memoria, CPU, archivos abiertos y relaciones padre-hijo.

El identificador principal es el PID, o Process ID. También existe el PPID, que identifica al proceso padre. Entender esa relación permite saber si un proceso fue iniciado por systemd, por una sesión de usuario, por cron, por un contenedor o por otro programa.

2. Ver todos los procesos con ps

ps es el comando clásico para listar procesos. La página manual de ps forma parte de procps-ng, el conjunto de utilidades que obtiene información del sistema de archivos /proc.

ps
ps aux
ps -ef
ps axjf
ps -eo pid,ppid,user,stat,%cpu,%mem,etime,cmd --sort=-%cpu | head

Para una revisión rápida, ps aux muestra procesos de todos los usuarios con consumo de CPU y memoria. Para una vista más administrativa, ps -ef muestra PID, PPID, usuario, hora de inicio y comando. Para investigar jerarquías, ps axjf ayuda a ver relaciones padre-hijo.

3. Ver procesos en tiempo real con top

top ofrece una vista dinámica del sistema: carga, tareas, CPU, memoria, swap y procesos ordenados por consumo. Su manual lo describe como una herramienta para mostrar tareas Linux en tiempo real.

top

4. Usar htop para una vista más amigable

htop es un visor interactivo de procesos basado en ncurses. Su sitio oficial lo presenta como un visor interactivo multiplataforma, y su manual indica que permite navegar procesos, revisar consumo y operar de forma más visual que top.

sudo apt install htop
htop

htop es muy útil para principiantes porque permite filtrar, ordenar, ver árbol de procesos, enviar señales y detectar consumo anormal de forma visual. Aun así, en servidores mínimos puede que no esté instalado; por eso conviene dominar también ps y top.

5. Buscar procesos por nombre con pgrep

pgrep permite buscar procesos por nombre, usuario, grupo, terminal, patrón u otros criterios. La página manual de pgrep forma parte de procps-ng y documenta también herramientas relacionadas como pkill y pidwait.

pgrep nginx
pgrep -a nginx
pgrep -u www-data
pgrep -af python
pgrep -af "node|python|perl|bash"

La opción -a ayuda a mostrar el comando completo asociado al proceso. Esto es importante porque un nombre simple como “python” no dice mucho; necesitas saber qué script ejecuta, desde qué ruta y con qué argumentos.

6. Ver árbol de procesos

El árbol de procesos permite saber quién lanzó a quién. Esto es clave para diferenciar un proceso normal de systemd, un proceso hijo de un servicio web, una tarea cron o un script iniciado por un usuario remoto.

pstree -p
ps axjf
ps -eo pid,ppid,user,stat,cmd --forest

Si ves un proceso sospechoso, revisa su proceso padre. Un proceso raro colgando de sshd, cron, apache2, nginx o una sesión de usuario puede dar pistas sobre su origen.

7. Identificar servicios con systemctl

En distribuciones modernas con systemd, muchos procesos pertenecen a servicios. systemctl controla el gestor de sistema y servicios systemd, y permite revisar estado, detener, iniciar, reiniciar o enviar señales a unidades.

systemctl status nginx
systemctl status ssh
systemctl --failed
systemctl list-units --type=service --state=running

Antes de matar directamente un PID, revisa si pertenece a un servicio. Si lo matas sin controlar la unidad, systemd podría reiniciarlo automáticamente o dejar el servicio en estado inconsistente. Para servicios, suele ser más limpio usar systemctl stop servicio o systemctl restart servicio, según corresponda.

8. Revisar logs del proceso o servicio

Antes de detener un proceso sospechoso, revisa evidencia. Con journalctl puedes consultar logs de servicios systemd y del sistema. Esto permite ver errores, reinicios, fallos de autenticación o actividad anormal antes de tomar acción.

journalctl -p err -b
journalctl -u nginx --since "1 hour ago"
journalctl -u ssh --since "24 hours ago"
journalctl _PID=1234

Si el proceso tiene un PID concreto, journalctl _PID=PID puede ayudar a revisar eventos relacionados, siempre que el servicio registre en journald.

9. Ver qué archivos tiene abiertos un proceso con lsof

lsof significa “list open files”. En Unix y Linux, archivos abiertos no solo son documentos: también pueden ser sockets, librerías, dispositivos, directorios y conexiones. La página manual de lsof documenta que permite listar archivos abiertos por procesos activos.

sudo lsof -p 1234
sudo lsof -i -P -n
sudo lsof -iTCP -sTCP:LISTEN -P -n
sudo lsof /ruta/al/archivo

Esto permite responder preguntas críticas: ¿qué archivos está leyendo?, ¿qué librerías carga?, ¿qué conexiones tiene?, ¿qué puerto escucha?, ¿qué proceso mantiene ocupado un archivo o directorio?

10. Ver conexiones de red asociadas a procesos

Un proceso sospechoso suele delatarse por sus conexiones. Puede estar escuchando en un puerto inesperado, conectándose a una IP externa o abriendo sockets que no corresponden a su función.

sudo ss -tulpn
sudo ss -tunap
sudo lsof -i -P -n
sudo netstat -tulpn 2>/dev/null

Si un proceso llamado de forma extraña escucha en un puerto alto, o si un proceso que no debería tener red aparece con conexiones externas, debes investigarlo antes de asumir que es normal.

11. Investigar un PID desde /proc

El directorio /proc expone información del kernel y de los procesos. Muchas herramientas como ps, top y pgrep obtienen datos desde allí mediante procps-ng.

PID=1234

ls -l /proc/$PID/exe
ls -l /proc/$PID/cwd
tr '\0' ' ' < /proc/$PID/cmdline; echo
tr '\0' '\n' < /proc/$PID/environ 2>/dev/null | head
cat /proc/$PID/status
ls -l /proc/$PID/fd | head

12. Señales de un proceso sospechoso

No todo proceso desconocido es malicioso. Linux ejecuta muchos procesos legítimos con nombres poco familiares. Aun así, hay señales que justifican investigar.

13. Antes de detener: recopila evidencia

Si sospechas de un proceso, no lo mates inmediatamente salvo que esté causando daño activo. Primero recopila información mínima: PID, usuario, comando, binario, ruta, conexiones, archivos abiertos, proceso padre y logs.

PID=1234

ps -fp $PID
ps -o pid,ppid,user,stat,%cpu,%mem,etime,cmd -p $PID
ls -l /proc/$PID/exe /proc/$PID/cwd
tr '\0' ' ' < /proc/$PID/cmdline; echo
sudo lsof -p $PID | head -50
sudo ss -tunap | grep "$PID"
journalctl _PID=$PID --since "2 hours ago"

Este procedimiento te ayuda a decidir si se trata de un servicio legítimo, un script mal configurado, una tarea pesada, un proceso huérfano o una posible amenaza.

14. Detener procesos con kill, pkill y killall

kill envía señales a procesos o grupos de procesos. La página manual de kill documenta su uso para enviar señales por PID, mientras que signal explica el comportamiento de señales como TERM y KILL.

kill -TERM 1234
sleep 3
ps -p 1234

# Solo si no responde:

kill -KILL 1234

15. Detener procesos por nombre con cuidado

pkill permite enviar señales a procesos que coinciden con un patrón. Es cómodo, pero peligroso si el patrón es demasiado amplio. Antes de usar pkill, prueba con pgrep.

pgrep -af "python script.py"

# Si estás seguro:

pkill -TERM -f "python script.py"

# Evita patrones demasiado generales:

# pkill -f python

Evita usar patrones como python, java, node o bash sin filtrar, porque podrías cerrar procesos legítimos. En servidores, un error de este tipo puede tumbar aplicaciones críticas.

16. Detener servicios con systemctl, no solo por PID

Si el proceso pertenece a un servicio, usa systemctl. Además, systemd tiene opciones de control de señales y modos de eliminación de procesos. La documentación de systemd.kill advierte que no se recomienda usar KillMode=process o none, porque puede permitir que procesos escapen de la gestión del servicio y queden ejecutándose aunque la unidad se considere detenida.

sudo systemctl stop nginx
sudo systemctl restart nginx
sudo systemctl kill nginx
sudo systemctl status nginx

Cuando un proceso se reinicia solo después de matarlo, revisa si tiene una unidad systemd, un timer, una tarea cron, un supervisor, Docker, Kubernetes, PM2, supervisord o una política de reinicio.

17. Ver procesos que consumen demasiada CPU o memoria

Un proceso con alto consumo no siempre es sospechoso: puede estar compilando, indexando, comprimiendo, haciendo backup o procesando datos. Pero si no hay explicación, debes revisarlo.

ps aux --sort=-%cpu | head
ps aux --sort=-%mem | head
ps -eo pid,ppid,user,%cpu,%mem,etime,cmd --sort=-%cpu | head -20

También revisa etime, que indica cuánto tiempo lleva el proceso ejecutándose. Un proceso con alto CPU durante minutos puede ser normal; durante días, merece investigación.

18. Detectar procesos zombies

Un proceso zombie ya terminó, pero su proceso padre no recogió su estado de salida. No consume CPU como un proceso activo, pero puede indicar problemas en una aplicación o servicio padre.

ps aux | awk '$8 ~ /Z/ {print}'
ps -eo pid,ppid,stat,cmd | awk '$3 ~ /Z/ {print}'

Normalmente no puedes matar directamente un zombie porque ya terminó. Debes revisar y corregir el proceso padre, o reiniciar el servicio responsable si corresponde.

19. Investigar procesos con strace

strace permite rastrear llamadas al sistema y señales de un proceso. Su manual indica que imprime el nombre de cada llamada al sistema, sus argumentos y valores de retorno. Es muy útil para diagnóstico, pero debe usarse con cuidado porque puede generar mucha salida y afectar rendimiento.

sudo strace -p 1234
sudo strace -f -p 1234 -o /tmp/strace-1234.log
sudo strace -e trace=file -p 1234

strace es útil cuando un proceso parece “colgado”, no abre un archivo, no conecta a un socket o falla sin mostrar errores claros. En producción, úsalo durante ventanas controladas.

20. Controlar prioridad con nice y renice

No siempre necesitas detener un proceso. A veces basta con reducir su prioridad para que no afecte a otros servicios. Red Hat incluye nice y renice entre comandos administrativos comunes para cambiar prioridad de procesos.

nice -n 10 comando_largo
sudo renice 10 -p 1234

Un valor nice más alto da menor prioridad al proceso. Esto puede ser útil para backups, compresiones, análisis de logs o tareas de mantenimiento que no deben afectar servicios críticos.

Flujo seguro para investigar y detener un proceso sospechoso

Comandos esenciales en una sola tabla

Errores comunes al controlar procesos en Linux

Preguntas clave

Recomendamos

En resumen

Controlar procesos en Linux es una competencia básica para administración, rendimiento y seguridad. Con herramientas como ps, top, htop, pgrep, systemctl, journalctl, lsof, ss, strace y /proc puedes saber qué se ejecuta, quién lo inició, qué recursos consume, qué archivos abre y qué conexiones mantiene.

La clave es actuar con método: identificar, investigar, recopilar evidencia, detener de forma ordenada y revisar persistencia. Un proceso sospechoso no se resuelve siempre con kill; muchas veces exige revisar servicios, tareas programadas, usuarios, logs, red y configuración del sistema.