Ho uno script del forum in esecuzione sul server e in qualche modo un piccolo numero di allegati inizia a perdersi. Voglio scoprire cosa li sta eliminando e a che ora. Come posso configurare Linux auditd (auditctl) per guardare l'albero delle directory (gli allegati sono memorizzati all'interno dell'albero delle directory multi-livello) per controllare lì le cancellazioni dei file?
Forse dovrei usare qualche altro strumento per questo?
Risposte:
Questa è una risposta che ho scritto a una domanda precedente:
Generalmente se desideri sapere cosa sta facendo un processo / utente / file senza dover eseguire lsof contro di esso 24/7, usi auditctl.
Supponendo che tu abbia un controllo di controllo del kernel recente dovrebbe essere un'operazione semplice. (Questo è in Debian-fu, se stai eseguendo Red Hat translate come appropriato)
# apt-get install auditdAssicurati che sia in esecuzione (/etc/init.d/auditd status).
auditctl -a entry,always -F arch=b64 -S open -F pid=<process id>Sostituisci b64 con b32 se esegui un arco a 32 bit, open può essere sostituito da qualsiasi chiamata di sistema o dalla parola 'all'
Per maggiori informazioni leggi la manpage auditctl.
È possibile utilizzare questo metodo e chiedergli di controllare la chiamata di sistema "Unlink".
Il parametro -w è utile per guardare file / directory, ma come nella pagina man spiega che ci sono avvertimenti.
-w path Inserisce un watch per l'oggetto file system nel percorso. Non è possibile inserire un orologio nella directory di livello superiore. Questo è proibito dal kernel. Anche i caratteri jolly non sono supportati e genereranno un avviso. Il modo in cui funzionano gli orologi è il monitoraggio dell'inode internamente. Ciò significa che se metti un watch in una directory, vedrai quelli che sembrano essere eventi di file, ma in realtà è solo l'aggiornamento dei metadati. In questo modo potresti perdere alcuni eventi. Se è necessario guardare tutti i file in una directory, si consiglia di posizionare un singolo watch su ciascun file. A differenza delle regole di controllo di syscall, gli orologi non influiscono sulle prestazioni in base al numero di regole inviate al kernel.
Forse incron potrebbe essere usato?
Un paio di idee. Puoi usare straceper vedere cosa sta facendo la tua applicazione, ma potrebbe generare un registro di registri e rallentare il sistema.
Un'altra idea è quella di utilizzare inotifywait, quindi lsof/fusersul file per vedere cosa lo sta usando. Puoi provare a eseguire questo script con la massima priorità (se puoi) per avere informazioni il più accurate possibile. Probabilmente non intercetterà la unlinkchiamata, poiché il file sparirà prima che l'evento venga recapitato.
-fbandiera, per seguire i figli.
Mentre la raccomandazione auditd di fenix sembra ideale, potresti trovare utili gli ID di un filesystem come AIDE . Sfortunatamente, è improbabile che sia abbastanza fine per quello che stai cercando di isolare.
Scriverò spesso script come soluzione per problemi come quello che descrivi. Se non riesci a realizzare ciò che desideri con le soluzioni consigliate, scrivi qualcosa da te. Spesso non è molto complicato.