Linux中监控文件被哪个进程修改（详解）

简介：
本文详细介绍在Linux系统中如何监控特定文件或目录，并识别哪些进程对其进行了修改。通过使用inotifywait和lsof等工具，读者可以轻松掌握追踪文件变化的方法，确保系统的稳定性和安全性。 安装：`apt-get install auditd` 1. `auditd` 是一个后台守护进程，负责监控并记录系统活动。 2. 使用 `auditctl` 工具来配置审计规则。 3. 通过 `ausearch` 查看和搜索审计日志。 4. 利用 `aureport` 根据收集到的监控数据生成报表。 例如，要监控 `/root/.ssh/authorized_keys` 文件是否被修改过： ``` auditctl -w /root/.ssh/authorized_keys -p warx -k auth_key ``` - `-w` 参数指定了需要监控的文件。 - `-p awrx` 表示监控的操作类型包括写入（write）、附加（append）、读取（read）和执行（execute）。 - `-k` 用于给当前审计规则命名，便于后续搜索过滤。