![如何在不使用 inotify 或 auditd 的情况下检查哪些进程正在删除文件?](https://linux22.com/image/597428/%E5%A6%82%E4%BD%95%E5%9C%A8%E4%B8%8D%E4%BD%BF%E7%94%A8%20inotify%20%E6%88%96%20auditd%20%E7%9A%84%E6%83%85%E5%86%B5%E4%B8%8B%E6%A3%80%E6%9F%A5%E5%93%AA%E4%BA%9B%E8%BF%9B%E7%A8%8B%E6%AD%A3%E5%9C%A8%E5%88%A0%E9%99%A4%E6%96%87%E4%BB%B6%EF%BC%9F.png)
我试图找出哪些进程正在从我的 CentOS 服务器上的特定目录中删除文件。
我查看了inotify
,但它只是告诉我发生了多少个文件删除;它并没有告诉我哪个用户运行了哪个进程进行了删除,也没有告诉我删除何时发生。
我也尝试过auditd
,但是我在我的服务器上安装它没有成功。
有谁能建议其他可以做到这一点的工具吗?
答案1
auditd 是此处要使用的正确工具,man auditctl 并正确设置规则。一些有用的信息:http://www.nsa.gov/ia/_files/os/redhat/rhel5-guide-i731.pdf