如何找到删除我的文件的进程

Question

我正在使用基于unix的系统。 我有一个文件被多个脚本写入和读取，并非所有脚本都在我的控制之下。 每隔一段时间，文件就会消失。 我无法弄清楚导致此问题的进程/用户/脚本。 有没有办法以我以后可以看到哪个进程删除它的方式监视文件？

由于

Answer 1

您可以使用inotify等实用程序来观察文件系统中的更改。

IBM docs on using inotify

Answer 2

inotify的文档并未表明它显示谁执行了删除操作。跟踪工具（例如strace或truss（所有系统相关的）都可以显示进程ID和相应的系统调用（例如unlink或remove）。

Answer 3

如果您的系统支持，您可以启用C2审核。