inotifywait несуществующего файла

Первое что приходит в голову, мониторить каталог и парсить выхлоп по имени нужного файла.

Нет, do_sys_open генерирует fsnotify-событие только в случае успеха: http://elixir.free-electrons.com/linux/latest/source/fs/open.c#L1036

Можно отследить создание ранее несуществующего файла, повесив inotify на директорию.

Можно отслеживать вызов open(), прицепившись ptrace к нужным процессам.

Надо не создание, а именно попытку открытия. Да, тоже думал о ptrace, но хотелось как-то проще и без привязки к процессу, ибо туда могут ломиться разные и всё мониторить «не айс».

auditd и аналоги.