☰

찾기: 백업을 작성하는 사람

tag-icon • tag-icon backup daemon
찾기: 백업을 작성하는 사람

Mongo 및 MySQL 백업을 디렉토리에 기록하는 데몬이 있지만 /opt/BACKUP어떤 종류의 데몬이 작동하는지, 언제 작동하는지, 설정을 어디서 찾을 수 있는지는 알 수 없습니다.

이러한 파일은 다음 디렉터리에 있습니다.

-rwxrwxrwx 1 root  root 10954766682 Aug 30 21:02 history_2013-08-26.sql.bz2
-rw-r--r-- 1 root  root 22707064861 Sep 19 07:07 history.sql
drwx------ 2 root  root       16384 Dec 24  2012 lost+found
drwxr-xr-x 3 root  root        4096 Sep 19 03:12 mongodb
-rw-r--r-- 1 root  root  6708923175 Sep 18 04:16 mongodb.0.tgz
-rw-r--r-- 1 root  root  6685715560 Sep 17 04:16 mongodb.1.tgz
-rw-r--r-- 1 root  root  6733542547 Sep 19 04:17 mongodb.tgz
drwxr-xr-x 5 mysql root        4096 Sep 19 06:25 mysql
drwxr-xr-x 2 root  root        4096 Dec 24  2012 nobacula
drwxr-xr-x 2 root  root        4096 Aug 29 04:05 tmp

mongodb.* 및 History_2013-08-26.sql.bz2를 작성한 사람을 어떻게 찾을 수 있나요?

답변1

직접적으로 알 수는 없습니다. 당신이 가지고 있는 유일한 정보는소유자그리고 파일의 타임스탬프입니다.

소유자

문제의 파일은 의 소유이므로 root정보가 거의 제공되지 않습니다.

타임스탬프 - mongodb

보시 mongodb다시피 백업은 기본적으로 모두 동시에 발생합니다(오전 4시 15분). 이 점과 생성 시간이 서비스의 부하가 거의 없는 밤 시간이라는 사실로 인해 백업이 프로세스에 의해 트리거될 가능성이 매우 높습니다 cron. 따라서 cron 구성을 확인해야 합니다.

  • /etc/crontab(보통 시스템에 의해 제어되기 때문에 가능성이 낮음)
  • /etc/cron.daily/(설정에 따라 다를 수 있습니다. 내 Debian/jessie 시스템에서는cron.데일리에 따르면 작업은 아침 6시 25분에 실행되므로 /etc/crontag그럴 가능성도 없습니다)
  • /etc/cron.d/(아마도)
  • 그만큼뿌리-사용자의 crontab 파일(예: 다음 으로 /var/spool/cron/crontabs/root실행하는 것이 가장 잘 액세스됩니다 .crontab -l뿌리또는 sudo crontab -l -u root.)

타임스탬프 - mysql

파일은 history.sql꽤 최근(9월 19일)에 생성되었으며 꽤 일찍 생성되었습니다( 7:07). cron-job에 의해 생성되었을 수도 있습니다(위 참조).

이 history_2013-08-26.sql.bz2생성된 날짜는 다음과 같습니다.8월 30일 21:02; 오후 9시가 시스템 관리자가 어떤 작업을 수행해야 하는 시간이라고 가정하고 타임스탬프(8월 30일)와 파일 이름(8월 26일) 사이에 불일치가 있다는 점을 지적하면 이 파일이 생성되었다고 가정합니다.수동으로.

답변2

누가 파일을 작성했는지 알 수 있는 방법이 있지만 일반적으로 사전에 시계를 설정해야 합니다.

모든 파일이 거의 동시에 생성되었으므로 해당 시간에 실행되는 일일 크론 작업을 찾아보세요. 이것은 당신에게 답을 줄 좋은 기회입니다.

당신이 가지고 있다면BSD 프로세스 회계활성화된 경우 실행하여 lastcomm파일이 기록될 당시 실행 중이었을 수 있는 프로세스를 확인합니다. 프로세스 계정은 프로세스 실행이 완료된 시점이 아니라 프로세스가 시작된 시점만 추적하므로 어려울 수 있습니다.

다음에 파일이 생성될 때 책임자가 누구인지 알아내는 방법이 있습니다. 한 가지 가능성은감사 하위 시스템:

auditctl -A exit,always -F path=/opt/BACKUP/mongodb.tgz -S open -S rename

또 다른 가능성은inotify. 예를 들어증분직업:

/opt/BACKUP/mongodb.tgz IN_MOVED_TO,IN_CREATE logger $% $@/$#

관련 정보