Interação de arquivo do sistema de detecção

Question

Eu preciso monitorar todas as interações com o sistema de arquivos Linux (incluir interações através de interrupções, funções do kernel e chamadas do sistema). Para fazer isso, eu uso SystemTap . Eu tenho duas perguntas:

1. De acordo com meu objetivo, o monitoramento do sistema de arquivos virtual é equivalente ao monitoramento do sistema de arquivos?
2. Quais eventos devo testar usando SystemTap ?

Answer 1

Encontrei a resposta há muito tempo, mas esqueci de compartilhá-la aqui.

1.Sim. O VFS é uma camada de abstração que fornece aos aplicativos acesso a diferentes tipos de sistemas de arquivos e dispositivos de armazenamento local e de rede. De acordo com aqui , tanto o código genérico do sistema de arquivos (VFS) quanto o código para cada sistema de arquivos diferente são encontrados em / diretório fs.

2. Portanto, usando SystemTap você pode sondar kernel.function("*@fs/*.c").call e kernel.function("*@fs/*.c").return para interações de entrada e kernel.function("*@fs/*.c").inline para interações de saída (se você ignorar funções que existem no próprio * .c).