Как узнать, кто пишет в папку

если забивается логами, то настрой ротацию в syslog

В папку /var пишут все процессы.

Для определения, куда срут больше всего, используй du. Автор обычно определяется по названию/содержанию файла.

/thread

auditctl -w /var -p ...

man auditctl

Используй auditctl

Команда будет выглядеть так:

$ auditctl -w /var/dirname/ -p war -k wtf

где,
-w /var/dirname - будеть следить за этой директорией.
-p war - r=read, w=write, a=append
-k wtf - у этого события в логах будет ключ wtf

потом, можешь осуществить поиск по событиям:

$ ausearch -f /var/dirname -i | less

можно еще через lsof:

$ lsof +r1 | grep '/var/dirname'

Спасибо за ответы, господа. :-)

В «папки» пишет винда

inotify?

на 100% не уверен, что для этого, так как тыкал давно и уже забыл...

прочитать лог, и посмотреть имя пишущей программы, обычно в [] скобках

ну или посмотреть в /dev/fd или lsof открытые логи, если оно пишет не ч-з сислог

ну или тупо и очевидно, посмотреть самый большой файл лога, и по его названию должна быть понятна пишущая прога

развивай мозжечок, малыш

ну как, помог audit?