如何找到誰或什麼（服務）刪除了 Solaris 中的特定檔案或資料夾？

Question

有沒有任何工具或日誌可以提供有關它的資訊？另外，如果無法找到上述內容，那麼...我可以做一些事情，當某人或某些服務嘗試刪除該資料夾時通知我。

Answer 1

這個小 Dtrace 腳本將輕鬆記錄系統中的每個檔案刪除：

dtrace -qn 'syscall::unlink*:entry { printf("%d, %s, %s\n", uid, execname, copyinstr(arg0));}
syscall::fsat:entry  /arg0 == 5 / { printf("%d, %s, %s\n", uid, execname, copyinstr(arg2));}'

Answer 2

據我所知，沒有“開箱即用”的解決方案，但您可以使用事件驅動的文件觀察器來處理文件系統事件（在其所在的目錄上） - 然後查找與句柄匹配的違規程序。

如果您需要這樣的應用程序，那麼可能值得在 StackOverflow 上詢問，因為您不是唯一有這種需求的人。