Как определить, какой программой генерируется файл в Linux?

Question

[DVoropaev]

Рассмотрим 2 ситуации:
1) Файл уже создан, и надо определить, какая программа его создает
2) Файл генерируется с некоторой периодичностью (допустим, каждые 10 минут). Надо "перехватить" этот момент и узнать, что за программа его создает

Answer 1

[Adamos]

Пока программа работает с файлом - она держит его открытым. Мониторьте lsof.
Или, если у вас есть подозрение на конкретную программу - запустите ее от имени уникального пользователя. Созданные ей файлы будут принадлежать этому пользователю.

Comments

[DVoropaev]

сделал как тут:

lsof ./1.txt 
lsof: WARNING: can't stat() tracefs file system /sys/kernel/debug/tracing
      Output information may be incomplete.

[Adamos]

DVoropaev, там вообще-то написано:

Если вы хотите получить вразумительный ответ на любой свой запрос, ее необходимо запускать от имени root-а

[Karpion]

Можно запускать и от особой группы - тоже будет видно.

Answer 2

[vreitech]

в первом случае - заранее настроить аудит и искать событие доступа к файлу в /var/log/audit.log
во втором - inotify.