我有一个目录/一些/目录，我看到新的文件出现在那里所有的时间。 如何找出哪个进程正在创build这些文件？
使用内核audit子系统
auditctl -w /some/dir/ -p war -k whatsgoingon
这设置挂钩等待/ some / dir /下发生的事情。
然后确保你已经运行了auditd守护进程。 之后，等待文件出现，并从/var/log/auditd.log或系统中的任何位置写入，然后读取发生了什么以及按什么进程。
试试lsof +r2 | grep '/some/dir' lsof +r2 | grep '/some/dir' 。 这将显示进程访问/ some / dir并每2秒刷新一次。
lsof可以帮助：
# lsof -r1 /some/dir/*