探討Linux文件系統(tǒng)監(jiān)控

Largem

最近在考慮Linux文件系統(tǒng)監(jiān)控的問(wèn)題，主要是要獲取文件系統(tǒng)中的任何變化，如文件修改，增加，刪除等等。

查閱了一些資料，但都沒(méi)法完全解決問(wèn)題，希望論壇高人指點(diǎn)。以下是我的一些想法。

1. inotify，在kernel 2.6.13后被引入，完全可以解決我的問(wèn)題，但是我需要監(jiān)控的系統(tǒng)多數(shù)是Kernel2.4的系統(tǒng)，而且不能被打補(bǔ)丁。

2. dnotify，在kernel2.4和2.6中都有，也是我可能唯一可以依靠的機(jī)制。但是dnotify的主要缺陷在于很難做到對(duì)整個(gè)文件系統(tǒng)的監(jiān)控，因?yàn)樗�要打開監(jiān)控的目錄，而且只能監(jiān)控一層。
    同時(shí)文件的變化，還需要事先Cache狀態(tài)，在變化發(fā)生后，逐一比較。
    后者倒是其次，主要是如何讓dnotify監(jiān)控整個(gè)文件系統(tǒng)，

    我的想法是，盡可能減少dnotify監(jiān)控的目錄數(shù)，做到有的放失。
    在監(jiān)控前，獲取系統(tǒng)當(dāng)前所有運(yùn)行進(jìn)程打開的文件句柄，從而得到文件/目錄列表， 這要只監(jiān)控這些文件/目錄的父目錄，可以大大減少dnotify打開文件句柄的數(shù)量。
    在監(jiān)控文件系統(tǒng)的同時(shí)，監(jiān)控系統(tǒng)中進(jìn)程的運(yùn)行狀況，例如新進(jìn)程被啟動(dòng)，運(yùn)行進(jìn)程退出，進(jìn)程打開文件句柄變化等的情況，如果發(fā)生此類的變化，則動(dòng)態(tài)調(diào)整dnotify的監(jiān)控對(duì)象。
    從而最終使得dnotify可以有效的監(jiān)控整個(gè)文件系統(tǒng)。

    現(xiàn)在的問(wèn)題是，如何監(jiān)控進(jìn)程的運(yùn)行狀態(tài)，不能采用poll的方式，這樣實(shí)時(shí)性下降，采用內(nèi)核通知，但不知如何去做。好像kevent可以，但是好像也是2.6的機(jī)制。

    大家看看有何辦法。

    謝謝

cuci

tripwire

Largem

我google了一下Tripwire，看起來(lái)它是基于定期的文件系統(tǒng)掃描，不是實(shí)時(shí)的監(jiān)測(cè)，而且掃描的話，開銷會(huì)隨著文件系統(tǒng)的龐大程度上升。

我想最好能有像2.6內(nèi)核的inotify類似的機(jī)制。

和別人討論了我的想法，試圖可以通dnotify監(jiān)控/proc文件系統(tǒng)，但是好像不能成功。

今天在研究一下kevent，看看能否有什么突破。

謝謝