inotify - 如何找出哪个用户修改了文件？

Question

我正在寻找有关如何找出哪个用户修改了特定文件的指导。 虽然inotify非常适合在触摸特定文件时获取通知，但我如何确定哪个用户修改了该文件？ 我可以想到使用lsof，但我担心它可能不像我想要的那样“实时”和/或它可能对资源征税太多。 通过实时，我的意思是，如果用户只是对文件执行touch命令，那么当我在文件上运行lsof时，它可能不会被lsof拾取。

Answer 1

您可以使用审计守护程序 ：

sudo apt-get install auditd

选择要监控的文件

touch /tmp/myfile

为写入和属性更改添加审计（ -p wa ）：

sudo auditctl -w /tmp/myfile -p wa -k my-file-changed

某些用户触摸该文件：

touch /tmp/myfile

检查审核日志：

sudo ausearch -k my-file-changed | tail -1

您可以在输出中看到运行该命令的用户的UID

type = SYSCALL msg = audit（1313055675.066：57）：arch = c000003e syscall = 2 success = yes exit = 3 a0 = 7ffffb6744dd a1 = 941 a2 = 1b6 a3 = 7ffffb673bb0 items = 1 ppid = 3428 pid = 4793 auid = 4294967295 uid = 1000 gid = 1000 euid = 1000 suid = 1000 fsuid = 1000 egid = 1000 sgid = 1000 fsgid = 1000 tty = pts1 ses = 4294967295 comm =“touch”exe =“/ bin / touch”key =“my-file-changed”

有关用法的详细信息，请参阅手册页或本示例指南 。

Answer 2

如果在前面的命令中添加-i选项，则将以更易读的格式输出。 您将把uid转换为服务器中的真实用户名。

ausearch -k my-file-changed -i | 尾巴-1