小编Way*_*rad的帖子

我们生产服务器上的一个特定文件在明显随机的时间被修改，这似乎与任何日志活动无关。我们无法弄清楚是什么程序在做的，有很多嫌疑。我怎样才能找到罪魁祸首？

它始终是相同的文件，位于相同的路径，但位于不同的服务器和不同的时间。这些框由puppet管理，但在修改文件时，puppet 日志显示没有活动。

什么内核钩子、工具或技术可以帮助我们找到正在修改这个文件的进程？

lsof 不适合这个，因为文件被打开、修改和关闭的速度非常快。任何依赖轮询（例如经常运行 lsof）的解决方案都不好。

• 操作系统：Debian 测试
• 内核：Linux，2.6.32 到 3.9，32 位和 64 位。