Wie findet man heraus, wer oder was (Dienst) eine bestimmte Datei oder einen bestimmten Ordner in Solaris gelöscht hat?

Question

Gibt es Tools oder Protokolle, die Informationen dazu liefern könnten? Und wenn es keine Möglichkeit gibt, das oben Genannte herauszufinden, kann ich dann etwas tun, das mich informiert, wenn jemand oder ein Dienst versucht hat, den Ordner zu löschen?

Answer 1

Dieses kleine Dtrace-Skript protokolliert problemlos jede Dateilöschung im System:

dtrace -qn 'syscall::unlink*:entry { printf("%d, %s, %s\n", uid, execname, copyinstr(arg0));}
syscall::fsat:entry  /arg0 == 5 / { printf("%d, %s, %s\n", uid, execname, copyinstr(arg2));}'

Answer 2

Soweit ich weiß, gibt es keine Standardlösung, aber Sie könnten einen ereignisgesteuerten Dateibeobachter für Dateisystemereignisse (für das Verzeichnis, in dem sie sich befinden) verwenden und dann nach den fehlerhaften Programmen suchen, die mit dem Handle übereinstimmen.

Wenn Sie eine solche Anwendung benötigen, lohnt es sich möglicherweise, bei StackOverflow nachzufragen, da Sie nicht der Einzige mit einem solchen Bedarf sein können.