Наблюдение за работой с файлами через /proc

если использовать view вместо vim, то прогргамма тоже не держит открытым файловый дескриптор, только если начать редактировать, тогда программа открывает swp файл

Т.е. в общем случае нет возможности узнать с какими файлами работает та или иная программа. Фу.

Так в общем случае она и не работает с файлами. Она работает с определенным буффером данных, который потом может записать по определенному пути. А может и не записать. А может и совершенно не по тому пути, по которому ты открыл файл изначально. И вообще, пока ты файл редактируешь в какой-то программе его можно тысячу раз удалить.

Ты хрчешь отслеживать не открытые файлы, а то, откуда программа получила ввод для заполнения буфера. Это совершенно разные вещи. А ввод она могла вообще не из файла получить, а из пайпа например.

Вообще меня интересуют именно файлы. Я хочу установить кто создаёт файлы в конкретной директории. И если отследить момент создания файла оказалось легко с помощью inotify, то как перейти от имени файла к имени/pid программы непонятно. И, похоже, в общем виде это просто невозможно.

И если отследить момент создания файла оказалось легко с помощью inotify, то как перейти от имени файла к имени/pid программы непонятно. И, похоже, в общем виде это просто невозможно.

Возможно: fatrace.

$ cd /path/to/file/
$ ls -l new.txt
ls: cannot access 'new.txt': No such file or directory
$ touch new.txt

параллельно:
# fatrace
...
touch(31981): + /path/to/file
touch(31981): O /path/to/file/new.txt
touch(31981): CW /path/to/file/new.txt

Вообще меня интересуют именно файлы. Я хочу установить кто создаёт файлы в конкретной директории.

И ты не разу не задумался на тот счет, что это сторона файловой системы и отслеживать надо именно ее, а не владение ресурсами процессом? По логике твоих действий, чтобы отследить откуда запрос на сервер прилетает, ты бы решил отслеживать куда запросы каждый клиент отправляет.

Я в сторонах не разбираюсь. Файловая система не владеет информацией кто создал файл.

Это совершенно элементарно. auditd.

fatrace

Американцы толстые и за всеми следят. Совпадение? Не думаю.