Linux 文件监控之谁动了我的奶酪

有时候配置文件会被莫名其妙的修改，但是找不到修改他的进程，从而无法抓住罪魁祸首，这时候就诞生了摄像头。呃呃，应该是audit

比如我要监控一个文件test.txt

[root@hsun /]# auditctl -w /audit/
[root@hsun /]# auditctl -l
(null): exit,always dir=/audit perm=rwxa

查询确认有规则添加。

然后再audit目录创建test.txt，向文件写内容。

[root@hsun audit]# ausearch -f  test.txt
----
time->Fri Jul  ::
type=UNKNOWN[] msg=audit(1564139108.755:): proctitle=746F75636800746573742E747874
type=PATH msg=audit(1564139108.755:): item= name="test.txt" inode= dev=fd: mode= ouid= ogid= rdev=: objtype=CREATE
type=PATH msg=audit(1564139108.755:): item= name="/audit" inode= dev=fd: mode= ouid= ogid= rdev=: objtype=PARENT
type=CWD msg=audit(1564139108.755:):  cwd="/audit"
type=SYSCALL msg=audit(1564139108.755:): arch=c000003e syscall= success=yes exit= a0=7fffec3dd1ba a1= a2=1b6 a3=7fffec3dad40 items= ppid= pid= auid= uid= gid= euid= suid= fsuid= egid= sgid= fsgid= tty=pts0 ses= comm="touch" exe="/usr/bin/touch" key=(null)

...
...
...
time->Fri Jul  ::
type=UNKNOWN[] msg=audit(1564139120.915:): proctitle="-bash"
type=PATH msg=audit(1564139120.915:): item= name="test.txt" inode= dev=fd: mode= ouid= ogid= rdev=: objtype=NORMAL
type=PATH msg=audit(1564139120.915:): item= name="/audit" inode= dev=fd: mode= ouid= ogid= rdev=: objtype=PARENT
type=CWD msg=audit(1564139120.915:):  cwd="/audit"
type=SYSCALL msg=audit(1564139120.915:): arch=c000003e syscall= success=yes exit= a0=24cab90 a1= a2=1b6 a3= items= ppid= pid= auid= uid= gid= euid= suid= fsuid= egid= sgid= fsgid= tty=pts0 ses= comm="bash" exe="/usr/bin/bash" key=(null)
[root@hsun audit]# 

我们主要关注里面的 comm="bash" exe="/usr/bin/bash" key=(null)，这两个字段，通过这两个字段我们就知道是什么命令操作了我们的文件或目录。

如果需要删除这条规格，可以使用以下命令，

[root@hsun audit]# auditctl -W /audit/
[root@hsun audit]# auditctl -l
No rules

也就是使用小写的w添加规则，大写的W删除规则。

然后就能查看到什么进程动了这个文件。