Linux: audit；如何知道有哪一个程序访问了某个文件？ auditctl

mzhan017

已于 2025-06-16 08:14:02 修改

阅读量522

点赞数 1

CC 4.0 BY-SA版权

分类专栏： linux command 云平台运维文章标签： linux 运维服务器

于 2022-10-23 21:15:33 首次发布

本文链接：https://blog.csdn.net/qq_36428903/article/details/127480929

云平台运维同时被 2 个专栏收录

278 篇文章 ¥59.90 ¥99.00

订阅专栏

linux command

30 篇文章

订阅专栏

本文介绍了如何使用Linux的audit机制来跟踪和监控哪些程序访问了特定文件。通过`auditctl`工具设置文件监控，并关注`auditd`服务的状态。此外，还提到了使用systemtap作为另一种方法，但该方法可能需要更多配置工作。

摘要生成于 C知道，由 DeepSeek-R1 满血版支持，前往体验 >

文章目录

参考
编译配置
参数
- audit
- audit_backlog_limit=8192
配置
kernel thread
auditctl
问题
解决方法
audit 系统调用
kill 命令的audit
performance TIPS
user and kernel interaction

参考

https://www.man7.org/linux/man-pages/man7/audit.rules.7.html
https://access.redhat.com/solutions/473223

编译配置

CONFIG_AUDIT

参数

audit

__setup(“audit=”, audit_enable);
audit= [KNL] Enable the audit sub-system， Format: { “0” | “1” | “off” | “on” }
0 | off - kernel audit is disabled and can not be enabled until the next reboot
unset - kernel audit is initialized but disabled and will be fully enabled by the userspace auditd.
1 | on - kernel audit is initialized and partially enabled, storing at most audit_backlog_limit messages in RAM until it is fully enabled by the userspace auditd.
Default: unset