inotify - 如何找出哪个用户修改了文件？

Question

我正在寻找有关如何找出哪个用户修改了特定文件的指导.虽然inotify非常适合在触摸特定文件时获取通知,但我如何确定哪个用户修改了该文件？我可以想到使用lsof,但我担心它可能不像我想要的那样"实时"和/或它可能对资源征税太多.实时,我的意思是,如果用户只是touch在文件上执行命令,那么当我lsof在文件上运行时,它可能无法被提取lsof.

Answer 1

您可以使用审计守护程序:

sudo apt-get install auditd

选择要监控的文件

touch /tmp/myfile

为write和attribute change(-p wa)添加审计:

sudo auditctl -w /tmp/myfile -p wa -k my-file-changed

某些用户触摸该文件:

touch /tmp/myfile

检查审核日志:

sudo ausearch -k my-file-changed | tail -1

您可以UID在输出中看到运行该命令的用户

type = SYSCALL msg = audit(1313055675.066:57):arch = c000003e syscall = 2 success = yes exit = 3 a0 = 7ffffb6744dd a1 = 941 a2 = 1b6 a3 = 7ffffb673bb0 items = 1 ppid = 3428 pid = 4793 auid = 4294967295 uid = 1000 gid = 1000 euid = 1000 suid = 1000 fsuid = 1000 egid = 1000 sgid = 1000 fsgid = 1000 tty = pts1 ses = 4294967295 comm ="touch"exe ="/ bin/touch"key ="my-file-changed"

有关用法的详细信息,请参阅手册页或本示例指南.