ファイル操作の監視

Question

システムで過去 1 時間に実行されたファイル操作 (失敗および成功) を確認したいのですが、その方法はありますか?

Answer 1

ファイル操作の履歴は、監視して記録しない限り見ることはできません。これを行うには、ptrace() システムコールや strace コマンドラインユーティリティ、あるいはDTraceただし、アクションをログに記録しなかった場合は、ファイルのタイムスタンプのみが処理対象となります。

Answer 2

この種の情報はデフォルトでは記録されません (大量の情報になります)。

特定のプロセスが何をしているかを確認したい場合は、strace（これはLinuxのユーティリティですが、他のUnix系にも同様のユーティリティがあります。truss、dtraceなど)。デフォルトでは、straceすべてのシステム コールがログに記録されます。表示される情報の種類を制御できますstrace。たとえば、オプションは、-efileファイルにアクセスするシステム コールのみのログ記録を制限します。

strace -o myprogram.log -efile myprogram --option

特定の階層内のすべてのファイルへのアクセスをログに記録したい場合は、ログFS。 見る特定のファイルを作成したプログラムまたはスクリプトを確認することは可能ですか?使用例については、こちらを参照してください。ログが書き込まれるディレクトリをログに記録しないでください。

より普及しているログ記録メカニズムはLinuxの監査サブシステムルートとして実行されます。特定のファイルを作成したプログラムまたはスクリプトを確認することは可能ですか?設定手順と使用例については、こちらをご覧ください。ログが書き込まれるディレクトリをログに記録しないでください。