我知道你可以使用lsof （至less在Linux中）来检查哪个进程已经打开了一个特定的文件，但是无论如何要找出哪个进程最初创build了一个特定的文件？ 或者甚至是哪个进程最近写/修改了一个特定的文件呢？
lsof
审计将有助于这一点。 有关介绍，请参阅http://security.blogoverflow.com/2013/01/a-brief-introduction-to-auditd/ 。