ฉันมีสคริปท์ฟอรัมอยู่บนเซิร์ฟเวอร์และไฟล์แนบขนาดเล็กเริ่มหลงทาง ฉันต้องการค้นหาสิ่งที่กำลังลบและในเวลาใด ฉันจะตั้งค่า Linux auditd (auditctl) เพื่อดูแผนผังไดเรกทอรี (สิ่งที่แนบมาจะถูกเก็บไว้ในแผนผังไดเรกทอรีหลายระดับ) เพื่อดูการลบไฟล์ที่นั่นได้อย่างไร
ฉันควรใช้เครื่องมืออื่นสำหรับสิ่งนี้ได้ไหม
คำตอบ:
นี่คือคำตอบที่ฉันเขียนถึงคำถามก่อนหน้า:
โดยทั่วไปหากคุณต้องการทราบว่ากระบวนการ / ผู้ใช้ / ไฟล์กำลังทำอะไรโดยไม่ต้องเรียกใช้ lsof กับ 24/7 คุณใช้ auditctl
สมมติว่าคุณมีการควบคุมการตรวจสอบเคอร์เนล-ish ที่ผ่านมาควรจะเป็นการดำเนินการอย่างง่าย (นี่เป็นภาษาเดเบียน - ฟูถ้าคุณใช้ Red Hat แปลตามความเหมาะสม)
# apt-get install auditdตรวจสอบให้แน่ใจว่าสถานะกำลังทำงาน (/etc/init.d/auditd)
auditctl -a entry,always -F arch=b64 -S open -F pid=<process id>แทนที่ b64 ด้วย b32 หากคุณใช้งานอาร์คแบบ 32 บิตการเปิดสามารถถูกแทนที่ด้วยการเรียกของระบบหรือคำว่า 'all'
สำหรับการอ่านเพิ่มเติม manctctctl
คุณสามารถใช้วิธีนี้และขอให้ดูการโทรของระบบ 'unlink'
พารามิเตอร์ -w มีประโยชน์สำหรับการดูไฟล์ / ไดเรกทอรี แต่ในขณะที่หน้าคนอธิบายว่ามี caveats
-w พา ธ แทรกนาฬิกาสำหรับวัตถุระบบไฟล์ที่เส้นทาง คุณไม่สามารถแทรกนาฬิกาในไดเรกทอรีระดับบนสุด สิ่งนี้ถูกห้ามโดยเคอร์เนล ไม่สนับสนุนการใช้สัญลักษณ์แทนและจะสร้างคำเตือน วิธีการดูการทำงานคือการติดตาม inode ภายใน ซึ่งหมายความว่าหากคุณวางการเฝ้าดูในไดเรกทอรีคุณจะเห็นสิ่งที่ดูเหมือนจะเป็นเหตุการณ์ไฟล์ แต่จริงๆแล้วเป็นเพียงการอัปเดตข้อมูลเมตา คุณอาจพลาดเหตุการณ์บางอย่างด้วยการทำเช่นนี้ หากคุณต้องการดูไฟล์ทั้งหมดในไดเรกทอรีแนะนำให้ทำการวางแต่ละไฟล์ในแต่ละไฟล์ ซึ่งแตกต่างจากกฎการตรวจสอบ syscall นาฬิกาไม่ส่งผลกระทบต่อประสิทธิภาพการทำงานขึ้นอยู่กับจำนวนของกฎที่ส่งไปยังเคอร์เนล
ความคิดสองสามอย่าง คุณสามารถใช้straceเพื่อดูว่าแอปพลิเคชันของคุณกำลังทำอะไร แต่อาจสร้างล็อกไฟล์บันทึกและอาจทำให้ระบบช้าลง
อีกแนวคิดหนึ่งคือการใช้งานinotifywaitจากนั้นlsof/fuserในไฟล์เพื่อดูว่ามีการใช้อะไร คุณสามารถลองเรียกใช้สคริปต์นี้ในลำดับความสำคัญสูง (หากคุณสามารถ) เพื่อให้ได้ข้อมูลที่ถูกต้องที่สุด มันอาจจะไม่ได้รับunlinkสายเนื่องจากไฟล์จะหายไปก่อนที่จะมีการส่งมอบเหตุการณ์
-fแฟล็กเพื่อติดตามลูก ๆ
แม้ว่าคำแนะนำในการตรวจสอบของ fenix นั้นดูจะเหมาะสม แต่คุณอาจพบ IDS ของระบบไฟล์เช่นAIDE มีประโยชน์ น่าเสียดายที่มันไม่น่าจะมีความละเอียดเพียงพอสำหรับสิ่งที่คุณพยายามจะแยก
ฉันมักจะเขียนสคริปต์เป็นวิธีแก้ปัญหาเช่นสิ่งที่คุณอธิบาย หากคุณไม่สามารถทำสิ่งที่คุณต้องการได้ด้วยการแนะนำวิธีแก้ปัญหาให้เขียนบางอย่างด้วยตัวเอง มันมักจะไม่ซับซ้อนมาก