提纲
1 关于inotify
2 关于inotify-tools
3 关于Falcon
4 常见
webshell分析
5 其他文件监控机制介绍
关于inotify
介绍
Linux 2.6 内核中的文件系统变化通知机制
inotify 是一种文件系统的变化通知机制，如文件增加、删除等事件可以立刻让用户态得知，该机制是著名的桌面搜索引擎项目 beagle 引入的，并在 Gamin 等项目中被应用。
产生背景
曾经有个dnotify，他有缺陷，然后有了inotify。
1． Inotify 不需要对被监视的目标打开文件描述符，而且如果被监视目标在可移动介质上，那么在 umount 该介质上的文件系统后，被监视目标对应的 watch 将被自动删除，并且会产生一个 umount 事件。
2． Inotify 既可以监视文件，也可以监视目录。
3． Inotify 使用系统调用而非 SIGIO 来通知文件系统事件。
4． Inotify 使用文件描述符作为接口，因而可以使用通常的文件 I/O 操作select 和 poll 来监视文件系统的变化。
点击下载
