Làm cách nào tôi có thể theo dõi việc xóa/dev/null

Thông thường, tôi sử dụng inotfiy_add_watch để theo dõi việc xóa tệp, nó hoạt động với các tệp thông thường hoặc thậm chí hầu hết các tệp thiết bị (/ dev/zero, v.v.), nhưng không thành công đối với/dev/null. Có vẻ như mọi hoạt động đối với nó sẽ không kích hoạt các sự kiện inotify. Tại saoï¼ Có cách nào khác để theo dõi rm/dev/null không? cám ơn!

Trên Linux, inotify bị hạn chế ở chỗ nó dành riêng cho hệ thống tệp. Tài liệu nói rằng "nhiều hệ thống tệp giả khác nhau như/proc,/sys và/dev/pts không thể giám sát được bằng inotify"

Hệ thống kiểm toán Linux có khả năng ghi nhật ký các cuộc gọi hệ thống tùy ý. Một đồng hồ giám sát tập tin ví dụ bạn có thể đưa vào /etc/audit/rules.d/specialdev.rules có thể là:

-a luôn, thoát -F arch=b64 -S hủy liên kết, hủy liên kết, đổi tên, đổi tên -F thành công=1 -F đường dẫn=/dev/null -k specialdev
-a luôn, thoát -F arch=b32 -S hủy liên kết, hủy liên kết, đổi tên, đổi tên -F thành công=1 -F đường dẫn=/dev/null -k specialdev

Lưu ý rằng việc lọc các cuộc gọi hệ thống cụ thể thực sự xóa tệp chứ không chỉ ghi vào tệp. Truy vấn các mục gần đây với một cái gì đó như:

ausearch --bắt đầu từ hôm qua --kết thúc ngay bây giờ --key specialdev

Bạn có thể biết từ các mục nhật ký này khi nó xảy ra, ID tiến trình và comm, các hương vị khác nhau của uid và bối cảnh selinux. Manh mối tốt, nhưng bạn vẫn phải tìm kiếm tập lệnh shell bị hỏng hoặc bất cứ thứ gì.