在FreeBSD/Linux下监控哪个进程修改了文件

Question

有时，我感兴趣的文件会被某些进程修改。我需要找出哪个进程正在修改这个文件。使用lsof不起作用，kqueue也不起作用。这在FreeBSD和Linux下是可能的吗？

Answer 1

在Linux上，有一个针对inotify的内核补丁。然而，一些人表示，这很少有用，而且可能会带来安全风险。在任何情况下，这里都是patch。

除此之外，我不确定是否有任何方法可以获得PID，无论是使用inotify还是dnotify。您可以进一步研究(例如，搜索pid dnotify或pid inotify)，但我认为这不太可能。

Answer 2

在FreeBSD上，如果你使用check its auditing features，也许是最好的。

Answer 3

Linux有一个审计守护进程http://www.cyberciti.biz/tips/linux-audit-files-to-see-who-made-changes-to-a-file.html

另请参阅auditd homepage