Hogyan lehet meghatározni, hogy melyik folyamat vagy felhasználó ír adatokat egy fájlba a Linux rendszerben anélkül, hogy naplókat használnánk?

Annak meghatározásához, hogy melyik folyamat vagy felhasználó ír adatokat egy fájlba Linuxon anélkül, hogy naplókat használna, az lsof segédprogramot vagy az inotify-tools csomagból az inotifywait eszközt használhatja.

1. lsof — megmutatja, mely folyamatok nyitottak meg egy fájlt:

lsof /út/végére/fájl

Ez felsorolja azokat a folyamatokat, amelyek jelenleg nyitva tartják a fájlt.

2. inotifywait — lehetővé teszi a fájlrendszer eseményeinek figyelését, például a fájlba írás detektálását:

inotifywait -m -e modify /út/végére/fájl

Egy másik terminálon futtathat parancsokat, és a fájl módosításakor láthatja az eseményt. Ezután újra használhatja az lsof-t vagy a ps-t a folyamat azonosítására.

3. auditd — ha elérhető, konfigurálhat egy auditálást a fájlon, hogy nyomon kövesse az írási műveleteket, de ez inkább a naplókhoz hasonlít.

Így az inotifywait-et a írás pillanatának és az lsof-t a folyamat azonosítására kombinálva hatékony módszer a rendszer naplók használata nélkül.