如何找出创建特定文件的进程？

Question

我知道您可以使用lsof (至少在Linux中)来检查哪个进程当前打开了特定的文件，但是是否可以找到最初创建特定文件的进程？或者是最近哪个进程写入/修改了特定的文件？

Answer 1

会帮上忙的。有关介绍，请参见http://security.blogoverflow.com/2013/01/a-brief-introduction-to-auditd/。