Узнать кто или что удаляет файл

centos, cron, inotify

Здравствуйте, подскажите такую штуку, на сервере (centos) постоянно пропадает один файл. Поставил inotify для отслеживания. Видно что в 5 утра файл был перемещен, скорее всего cron какой-то, но не могу понять, как определить что это за крон, то есть inotify показывает мне что файл был перемещен, но куда и кем непонятно, кронов в системе очень много просматривать и изучать каждый кронтаб - не вариант, есть ли способ узнать, кто или что перемещает этот файл и куда?

Ссылка

← Недоступны репозитории ubuntu

где взять ipv6 домашнему компу? →

chattr +i на файл, и смотреть по логам, что не выполнилось

anonymous
(29.03.17 10:52:31 MSK)

просматривать и изучать каждый кронтаб - не вариант

Это плохо, ибо получается машина вами командует, а не вы ей.

vodz ★★★★★
(29.03.17 10:57:35 MSK)

Ответ на: комментарий от vodz 29.03.17 10:57:35 MSK

Ну я имел ввиду, что может есть какй-то способ автоматизировать, поиск такой информации, думаю вариант с chattr +i вполне подойдет

vova3261
(29.03.17 11:00:38 MSK) автор топика

Ответ на: комментарий от anonymous 29.03.17 10:52:31 MSK

Спасибо большое, то что надо!

vova3261
(29.03.17 11:01:09 MSK) автор топика

Ответ на: комментарий от vova3261 29.03.17 11:00:38 MSK

поиск такой информации, думаю вариант с chattr +i вполне подойдет

Это решение из серии: в метро приникают зайцами, а давайте забетонируем вход и не будут проникать.

Завтра вдруг обнаружится, что раз в три месяца пропадает ещё один файл, а через полгода - раз в год ещё один файл...

vodz ★★★★★
(29.03.17 11:08:36 MSK)

Ссылка

Ответ на: комментарий от vova3261 29.03.17 11:01:09 MSK

Чище будет настроить auditd, он для этого и создан.

auditctl -a always,exit -S unlink -S unlinkat -S unlinkat2 \
-S rename -S renameat -S renameat2 -k delete -F path=путь_до_файла arch=b64
auditctl -a always,exit -S unlink -S unlinkat -S unlinkat2 \
-S rename -S renameat -S renameat2 -k delete -F path=путь_до_файла arch=b32

zuzzas ★
(29.03.17 11:48:11 MSK)

Ссылка

systemtap'ом, например.

post-factum ★★★★★
(29.03.17 11:58:42 MSK)

Ответ на: комментарий от post-factum 29.03.17 11:58:42 MSK

systemtap

кхах, тут бывалые пятизвёздочники не знают что с ним делать, а ты сразу в прорубь Ж) так-то инструмент незаменимый, но auditd всё же более уместен будет в данном случае.

anonymous
(29.03.17 12:33:55 MSK)