Trouver quel processus modifie un fichier

Vous pouvez utiliser auditd et ajouter une règle pour que ce fichier soit surveillé :

auditctl -w /path/to/that/file -p wa

Ensuite, surveillez les entrées à écrire dans /var/log/audit/audit.log .

SystemTap peut le faire en utilisant le script inodewatch .

si le ou les programmes que vous recherchez ont encore le fichier ouvert, vous pouvez utiliser ce qui suit :

 sudo lsof /path/to/file/being/modified

vous pouvez également appeler cela dans une petite boucle, en poursuivant le script suivant getfileusers.sh :

 #!/bin/sh

 FILE=$1

 while true; do
    lsof "${FILE}"
 done > /tmp/fileusers.log

puis appelez-le :

 sudo ./getfileusers.sh /path/to/file/being/modified

et éventuellement inspecter /tmp/fileusers.log pour voir qui a touché le fichier...