Как узнать кто пишет некие процессы в файл без логов в Linux

Определение процессов, пишущих в файл без логов в Linux

В Linux для идентификации процессов, которые осуществляют запись в файл (например, когда нет прямых логов или подозревается нежелательная активность), используется сочетание инструментов мониторинга и анализа системных вызовов. Вот ключевые методы:

1. Использование lsof (List Open Files)

Команда lsof показывает все открытые файлы в системе и процессы, связанные с ними. Для отслеживания процессов, которые открыли конкретный файл для записи:

lsof /путь/к/файлу

Чтобы найти процессы, которые пишут в файл, можно фильтровать по режиму открытия файла (W или w указывает на запись):

lsof /путь/к/файлу | grep -E 'W|w'

Также можно отслеживать изменения в режиме реального времени:

watch -n 1 'lsof /путь/к/файлу | grep -E "W|w"'

2. Мониторинг с помощью inotifywait

Инструмент inotifywait из пакета inotify-tools отслеживает события файловой системы, такие как открытие, изменение, закрытие файлов.

inotifywait -m /путь/к/файлу | grep -E "OPEN|MODIFY"

Это позволит увидеть, когда файл открывается или изменяется, но не указывает PID процесса. Для получения PID можно использовать более сложные скрипты или сочетать с другими инструментами.

3. Использование strace для отслеживания системных вызовов

strace — мощный инструмент для трассировки системных вызовов процесса. Если вы знаете PID подозрительного процесса, можно отследить его операции с файлами:

strace -p <PID> -e trace=open,write,close

Если PID неизвестен, можно запустить strace для всех процессов, но это ресурсоёмко. Альтернативно, можно использовать strace с фильтрацией по имени файла:

strace -f -e trace=open,write,close -o /tmp/strace.log bash -c "команда, которая может писать в файл"

4. Анализ через auditd (подсистема аудита Linux)

auditd — это система аудита, которая позволяет отслеживать специфические события, включая операции с файлами. Правила можно настроить для отслеживания записи в конкретный файл:

auditctl -w /путь/к/файлу -p wa -k write_to_file

После добавления правила, события записываются в лог аудита (/var/log/audit/audit.log), где можно увидеть PID и детали операции. Для анализа используйте ausearch:

ausearch -k write_to_file

5. Использование fatrace (File Activity Trace)

fatrace — инструмент для отслеживания активности файлов в реальном времени, показывающий PID и операции (чтение/запись).

fatrace | grep /путь/к/файлу

Это требует установки пакета (apt install fatrace в Debian/Ubuntu) и может быть очень полезен для быстрого обнаружения.

6. Проверка через ps и анализ дескрипторов файлов

Иногда можно найти процессы, которые имеют файл открытым для записи, через анализ дескрипторов в /proc:

for pid in $(ps -eo pid); do
  if ls -l /proc/$pid/fd/* 2>/dev/null | grep -q "/путь/к/файлу"; then
    echo "PID $pid открыл файл"
  fi
done

Практический подход: комбинирование методов

В реальных ситуациях оптимально сочетать несколько инструментов:

1. Сначала используйте lsof для быстрого получения списка процессов.
2. Если нет результатов, настройте аудит через auditd для постоянного мониторинга.
3. Для реального времени в критических ситуациях применяйте fatrace или inotifywait.
4. Для глубокого анализа поведения уже известного процесса используйте strace.

Пример скрипта для мониторинга:

#!/bin/bash
FILE="/путь/к/файлу"
echo "Мониторинг записи в $FILE"
while true; do
  PIDS=$(lsof "$FILE" | grep -E 'W|w' | awk '{print $2}')
  if [ -n "$PIDS" ]; then
    echo "Процессы, пишущие в файл: $PIDS"
    ps -p $PIDS -o pid,cmd
  fi
  sleep 2
done

Важно помнить, что некоторые процессы могут открывать файл для записи кратковременно, поэтому мониторинг должен быть достаточно частым. Также учитывайте, что некоторые операции могут быть буферизованы, поэтому фактическая запись может происходить не сразу после открытия файла.