Se você estiver usando o Linux, isso parece um trabalho para fatrace (que usa a API fanotify ). Aqui está um exemplo de saída:
sh(28980): C /bin/bash
cron(28974): CW /tmp/tmpf807Y78 (deleted)
cron(28974): C /lib/x86_64-linux-gnu/security/pam_unix.so
cron(28974): C /lib/x86_64-linux-gnu/libcrypt-2.13.so
cron(28974): C /lib/x86_64-linux-gnu/security/pam_deny.so
Isso nos diz, por exemplo, que o cron fez uma gravação aproximada em /tmp/tmpf807Y78
.
Se o fatrace não for adequado para o seu caso de uso, você pode procure clientes alternativos da API do fanotify.