Temukan proses mana yang memodifikasi file

Anda dapat menggunakan auditd dan menambahkan aturan agar file tersebut dapat ditonton:

auditctl -w /path/to/that/file -p wa

Kemudian perhatikan entri yang akan ditulis ke /var/log/audit/audit.log .

SystemTap dapat melakukannya, menggunakan skrip inodewatch .

seandainya program yang Anda cari masih membuka file, Anda dapat menggunakan yang berikut:

 sudo lsof /path/to/file/being/modified

Anda juga bisa memanggil ini dalam lingkaran kecil, menuntut skrip berikut getfileusers.sh :

 #!/bin/sh

 FILE=$1

 while true; do
    lsof "${FILE}"
 done > /tmp/fileusers.log

dan kemudian menyebutnya:

 sudo ./getfileusers.sh /path/to/file/being/modified

dan akhirnya memeriksa /tmp/fileusers.log untuk melihat siapa yang menyentuh file...