監視哪個進程在FreeBSD/Linux下修改了一個文件

Question

有時候我感興趣的文件會被某些進程修改。我需要找出哪個進程正在修改這個文件。使用lsof將不起作用，kqueue也不起作用。這可能在FreeBSD和Linux下使用嗎？

Answer 1

在Linux上，有一個內核補丁浮動在inotify的周圍。但是，有些人表示這很少有用，並且可能會帶來安全風險。無論如何，這裏是patch。

除此之外，我不知道有什麼辦法讓該PID，無論是與inotify的或dnotify。您可以進一步調查（例如，搜索pid dnotify或pid inotify），但我認爲這不太可能。

Answer 2

您可以看到哪些進程打開文件只是安裝和使用lsof（LiSt打開文件）命令。

Answer 3

在FreeBSD上，或許它應該是最好的，如果你check its auditing features。

Answer 4

Linux有一個審計守護進程也auditd homepage