filemon V4.33 文件系统监控实战：从 fanotify 到事件聚合与压力校准

简介filemon V4.33 是一款经典的系统文件监控工具面向系统管理员、开发人员及需要排查软件冲突与性能问题的技术用户。它能实时跟踪各进程对文件和注册表的访问记录操作类型、进程名、文件路径与返回值并支持过滤、搜索与日志记录且不修改系统状态属于安全的非侵入式诊断手段。相比部分新版本在特定环境下出现的运行错误V4.33 稳定性更好、兼容范围更广适合快速定位文件活动异常。资源包共 2 个文件包含 1 个 html 说明文档与 1 个 zip 压缩包整体约 77KB其中说明文档提供使用指导与授权信息压缩包内为可执行程序及相关文件解压即可使用属于无需安装的绿色工具。目前已有 246 人学习下载。通过它读者可掌握进程级文件访问的观察方法理解软件运行机制并借助日志回溯排查冲突与性能瓶颈是系统诊断与优化场景中实用的参考工具。1. filemon V4.33一个被低估的文件系统监控工具为什么值得你花一个下午跑通如果你在 Linux 上排查过「谁动了我的文件」这类问题大概率用过 inotifywait、fswatch 或者 auditd。但很多人不知道filemon V4.33 这个版本在事件聚合和输出格式上做了一次相当实用的调整——它不再把每次 write 都当成独立事件刷屏而是按文件句柄做短窗口合并。这意味着你在监控一个高频写入的日志目录时终于能看清「哪个进程在什么时候集中写了哪些文件」而不是被几万条重复事件淹没。filemon 本身是一个基于 fanotify 和 inotify 双后端的文件系统事件监控工具V4.33 这个版本号对应的是它在事件去重、PID 归属和递归目录处理上的一个稳定节点。它适合三类人一是做入侵检测或合规审计的安全工程师需要知道文件被谁改了什么二是做构建系统或部署流水线的 DevOps想定位「哪个步骤偷偷改了配置文件」三是做桌面环境或嵌入式系统的开发者要跟踪应用运行时的文件访问模式。这篇文章不讲空泛概念直接按「装、配、跑、调、排」的顺序把 filemon V4.33 的落地路径拆开。2. filemon V4.33 的监控模型与最小可跑配置2.1 先搞清楚 fanotify 和 inotify 两条路径的取舍filemon V4.33 内部同时支持 fanotify 和 inotify 两种事件源但它们在能力边界上差别很大。inotify 是内核早就稳定的接口每个被监控的 inode 对应一个 watch 描述符能拿到事件类型IN_MODIFY、IN_ATTRIB、IN_MOVED_FROM 等和文件名但拿不到触发事件的进程 PID。fanotify 从内核 5.0 以后逐步完善可以在事件中携带 struct fanotify_event_metadata里面包含 fd 和 pid代价是需要 CAP_SYS_ADMIN 权限而且对文件系统的支持依赖具体实现。我一般会这样选如果你只是想知道「哪个文件被改了」用 inotify 后端就够了资源占用低不需要 root 也能跑只要对目标目录有读权限。如果你需要「哪个进程改的」必须走 fanotify而且得用 root 或者赋予 CAP_SYS_ADMIN 能力。filemon V4.33 在启动时会自动探测当前环境是否支持 fanotify如果不支持会回退到 inotify 并在日志里打一条 warning。这个回退逻辑在容器里经常触发因为默认的 seccomp 配置会拦掉 fanotify_init。还有一个容易忽略的点fanotify 的权限事件模式FAN_OPEN_PERM会阻塞进程直到你回应filemon V4.33 默认不开启这个模式只做通知FAN_OPEN、FAN_MODIFY 等。如果你要做事前拦截得显式加--perm参数但那样一旦 filemon 进程卡住整个系统的文件访问都会挂起。生产环境慎用。2.2 从源码编译到第一次跑通的最小命令序列filemon V4.33 的构建依赖不算多但版本卡得比较死。下面这套命令是我在几台 Ubuntu 22.04 和 Debian 12 上验证过的内核 5.15 和 6.1 都能跑通。# 安装构建依赖libfanotify 在较新发行版里已经并入 glibc sudo apt update sudo apt install -y build-essential pkg-config libtool autoconf automake \ libssl-dev zlib1g-dev # 假设源码目录为 filemon-4.33进入后先生成配置脚本 cd filemon-4.33 ./autogen.sh # 关键配置项--enable-fanotify 打开 fanotify 后端 # --disable-static 减少产物体积--prefix 指定安装路径 ./configure --prefix/usr/local --enable-fanotify --disable-static # 编译时用 -j 加速但注意内存4G 以下的机器建议 -j2 make -j$(nproc) # 安装到系统路径 sudo make install # 验证版本和编译进去的后端 filemon --version filemon --help | grep -E fanotify|inotify编译阶段最常见的翻车点是 autogen.sh 报「aclocal-1.16 not found」。这是因为 automake 版本和 aclocal 版本不匹配解决方法是sudo apt install automake autoconf libtool之后重新跑或者直接autoreconf -fi强制重新生成。另一个坑是 configure 阶段找不到 fanotify 头文件那说明内核头文件没装全补一个linux-libc-dev就行。跑通之后第一次监控建议用这个命令# 监控 /tmp/testdir 下的所有事件输出到终端带时间戳和 PID sudo filemon -r /tmp/testdir -f -p --timestamp # 参数说明 # -r 递归监控子目录 # -f 前台运行不 daemon 化 # -p 打印触发进程的 PID需要 fanotify 后端 # --timestamp 每条事件前加 ISO8601 时间如果只想快速验证 inotify 路径把-p去掉用普通用户跑filemon -r /tmp/testdir -f就能看到事件流。注意inotify 模式下-p会被忽略并提示「PID tracking requires fanotify backend」。2.3 输出格式与事件过滤参数怎么调filemon V4.33 的默认输出是每行一条事件字段顺序为时间戳、事件类型、进程名、PID、文件路径。但实际用的时候原始输出往往太吵需要靠过滤参数收窄。下面这张表是我常用的几个过滤项和它们的实际效果。参数作用典型场景--eventmodify,create,delete只保留指定事件类型排查配置漂移忽略 access 噪音--exclude*.log按 glob 排除路径监控代码目录时跳过日志文件--pid1234只显示指定 PID 的事件跟踪某个可疑进程--min-size1024只显示文件大小超过阈值的写入过滤小文件心跳写入--merge-window200合并同一文件在 200ms 内的事件高频日志目录降噪其中--merge-window是 V4.33 新增的单位是毫秒默认 0 表示不合并。我一般设 100 到 300 之间再大就会丢失事件顺序感。--min-size依赖 fanotify 提供的文件大小信息inotify 后端下这个参数无效。还有一个隐藏技巧--outputjson可以把事件输出成 JSON Lines方便直接喂给 jq 或者日志管道。格式大概是{ts:...,event:modify,pid:1234,path:...}。如果你要对接 SIEM 或者自己写分析脚本这个格式比纯文本好解析得多。3. 把 filemon V4.33 接进实际工作流的三种做法3.1 用 systemd 托管 filemon 并做日志轮转前台跑 filemon 只适合调试长期运行得交给 systemd。下面这个 unit 文件是我在几台机器上共用的模板重点是 Restart 策略和日志输出。# /etc/systemd/system/filemon.service [Unit] DescriptionFilemon V4.33 file system monitor Afterlocal-fs.target ConditionPathExists/etc/filemon.conf [Service] Typesimple # 用配置文件方式启动避免命令行参数过长 ExecStart/usr/local/bin/filemon --config /etc/filemon.conf # fanotify 需要 root这里不降权 Userroot # 崩溃后 5 秒重启但限制重启频率防止风暴 Restarton-failure RestartSec5 StartLimitBurst5 StartLimitIntervalSec60 # 日志走 journald方便 journalctl -u filemon 查看 StandardOutputjournal StandardErrorjournal [Install] WantedBymulti-user.target对应的/etc/filemon.conf内容# 监控路径可以写多行 watch /etc watch /usr/local/bin watch /home/deploy/app # 事件过滤 events modify,create,delete,move exclude *.swp,*.tmp,*.log # 输出 output json merge_window 200 timestamp iso8601 # 性能保护单秒事件超过 5000 条时丢弃并告警 rate_limit 5000这里有个血泪经验rate_limit一定要设。我有一次监控一个构建目录编译过程中每秒产生几万条事件filemon 本身 CPU 冲到 300%把构建拖慢了一倍。设了 rate_limit 之后超限时它会打一条 warning 并丢弃后续事件至少不会把系统拖垮。日志轮转方面如果用 journald直接在/etc/systemd/journald.conf里设SystemMaxUse500M就行。如果输出到文件得配合 logrotate但 filemon 本身不处理 SIGHUP 重开日志文件所以 logrotate 要用 copytruncate 模式。3.2 用 Python 消费 filemon 的 JSON 输出做实时告警filemon 的 JSON 输出是行分隔的非常适合用子进程管道接出来做实时判断。下面这段 Python 脚本演示了「监控 /etc 下 passwd 和 shadow 的修改一旦发生就打印告警并记录进程信息」。#!/usr/bin/env python3 import subprocess import json import sys import time # 启动 filemon 子进程走 fanotify 拿 PID proc subprocess.Popen( [/usr/local/bin/filemon, -r, /etc, -f, -p, --outputjson, --eventmodify,create,delete], stdoutsubprocess.PIPE, stderrsubprocess.PIPE, textTrue, bufsize1 # 行缓冲保证实时性 ) # 敏感文件列表命中就告警 SENSITIVE {/etc/passwd, /etc/shadow, /etc/sudoers} def handle_event(evt): path evt.get(path, ) if path in SENSITIVE: ts evt.get(ts, ) pid evt.get(pid, unknown) proc_name evt.get(proc, unknown) event evt.get(event, ) print(f[ALERT] {ts} {event} on {path} by {proc_name}(pid{pid}), filesys.stderr) # 这里可以接 webhook、写 syslog 或者触发其他动作 for line in proc.stdout: line line.strip() if not line: continue try: evt json.loads(line) except json.JSONDecodeError: # filemon 偶尔会输出非 JSON 的 warning 行跳过 continue handle_event(evt) # 如果 filemon 退出记录返回码 proc.wait() print(ffilemon exited with code {proc.returncode}, filesys.stderr)这段代码的关键点有三个一是bufsize1配合textTrue实现行缓冲否则 Python 会攒一大块才读告警延迟能到几十秒二是对 JSON 解析失败做了容错因为 filemon 在 fanotify 初始化失败时会往 stdout 打纯文本 warning三是-p参数必须加否则 JSON 里没有 pid 字段。参数上还可以加--exclude把/etc/ld.so.cache这类频繁变动的文件排掉不然你的告警会被包管理器的正常操作刷爆。我一般会在 SENSITIVE 集合之外再加一个白名单进程列表比如dpkg、apt触发的修改直接忽略。3.3 用 filemon 做一次「配置文件漂移」审计除了实时告警filemon V4.33 还能当审计工具用。做法是在部署前后各跑一段时间的 filemon把事件落盘然后对比两次部署之间哪些文件被改了、改了几次、谁改的。下面是一个简化的审计流程。# 第一步部署前后台跑 filemon 记录基线持续 60 秒 sudo timeout 60 filemon -r /opt/myapp -f -p --outputjson \ --eventmodify,create,delete,move \ /tmp/filemon_before.jsonl # 第二步执行部署操作这里用 echo 模拟 # ./deploy.sh # 第三步部署后再记录 60 秒 sudo timeout 60 filemon -r /opt/myapp -f -p --outputjson \ --eventmodify,create,delete,move \ /tmp/filemon_after.jsonl # 第四步用 jq 提取被修改的文件路径并去重 jq -r select(.eventmodify) | .path /tmp/filemon_after.jsonl \ | sort | uniq -c | sort -rn | head -20这个流程的要点是timeout命令它保证 filemon 不会一直挂着。--event里加上move是因为很多部署脚本用mv做原子替换只监控 modify 会漏掉。jq 那一步的uniq -c能告诉你哪些文件被反复修改通常就是部署脚本里没做幂等的地方。如果要把这个审计做成常态建议把 before 和 after 的 JSONL 都存到带日期的目录里然后用一个简单的 diff 脚本对比两次的路径集合。filemon 本身不带对比功能但 JSON 格式让这件事变得很容易。4. filemon V4.33 避坑与排查五个真实踩过的坑4.1 容器里 fanotify 初始化失败PID 全是 unknown现象在 Docker 容器里跑filemon -p输出里 pid 字段一直是 0 或者 unknown日志里有一行fanotify_init: Operation not permitted。原因Docker 默认的 seccomp profile 会拦截fanotify_init系统调用即使容器以 root 运行也不行。这是内核层面的限制不是 filemon 的 bug。解决要么给容器加--cap-add SYS_ADMIN并且用自定义 seccomp 允许 fanotify_init要么干脆在宿主机上跑 filemon把监控结果通过 volume 或者网络传给容器。我一般选后者因为给容器 SYS_ADMIN 权限本身就有安全风险。如果非要在容器里跑至少把--security-opt seccompunconfined加上但生产环境不建议。4.2 递归监控大目录时内存持续上涨现象监控一个包含几十万文件的目录树filemon 进程 RSS 从几十兆涨到几个 G最后被 OOM killer 干掉。原因inotify 后端需要为每个目录建 watch 描述符filemon V4.33 默认会缓存所有 watch 的路径映射目录越多内存越大。fanotify 后端好一些但也会缓存事件元数据。解决加--max-watches50000限制 watch 数量超限时 filemon 会打 warning 并跳过新目录。另外用--exclude把node_modules、.git、__pycache__这类目录排掉能省掉大量 watch。如果确实需要监控超大目录树考虑用 fanotify 的 mount 级别监控--mount/data它不依赖 per-directory watch内存占用稳定得多。4.3 事件重复上报同一次写入出现三条记录现象用echo hello /tmp/test.txt测试filemon 输出了 create、modify、modify 三条事件其中 modify 重复。原因这是 inotify 的固有行为。一次 write 可能触发 IN_MODIFY随后 close 又触发一次 IN_CLOSE_WRITEfilemon 默认把两者都映射成 modify。V4.33 的--merge-window就是为这个设计的但默认值是 0不合并。解决加--merge-window100同一文件在 100ms 内的同类事件会被合并成一条并附带 count 字段。注意合并窗口不要设太大否则会掩盖短时间内多次修改的时序。如果要做精确审计宁可保留重复事件在分析端去重。4.4 监控 /proc 或 /sys 时 filemon 直接卡死现象执行filemon -r /proc后filemon 进程无响应CtrlC 也杀不掉只能 kill -9。原因/proc 和 /sys 是虚拟文件系统inotify 对它们的支持不完整某些操作会触发内核里的死锁路径。filemon V4.33 没有对虚拟文件系统做特殊处理递归进去就会出问题。解决永远不要监控 /proc、/sys、/dev。如果确实需要跟踪进程相关的文件访问用 fanotify 的 mount 模式监控具体挂载点或者改用 eBPF 方案。filemon 的定位是常规文件系统监控虚拟文件系统不在它的能力范围内。4.5 systemd 重启后 filemon 丢失了之前的监控状态现象filemon 被 systemd 重启后之前配置的 exclude 规则和 merge window 都恢复默认了事件量突然暴增。原因filemon V4.33 不支持运行时配置重载systemd 的Restarton-failure会重新执行 ExecStart但如果你把参数写在命令行里而不是配置文件里重启后参数确实还在。问题出在--config文件被修改后没有触发重启或者配置文件路径写错导致 filemon 静默用了默认值。解决统一用--config方式启动并且在 unit 文件里加ExecReload/bin/kill -HUP $MAINPIDfilemon V4.33 收到 SIGHUP 会重新读取配置文件。改完配置后systemctl reload filemon即可不用重启。另外在配置文件里加一行log_level info启动时会把生效的配置打到 journal 里方便确认。5. 用 filemon 的 rate_limit 和 merge_window 做一次压力校准filemon V4.33 最容易被忽视的两个参数是rate_limit和merge_window它们直接决定了工具在高负载下是帮你还是拖你。我一般会在正式部署前做一次压力校准方法是用一个脚本模拟高频写入然后观察 filemon 的 CPU 占用和事件丢失情况。# 压力脚本在 10 秒内对 100 个文件各写 1000 次 mkdir -p /tmp/stress cd /tmp/stress for i in $(seq 1 100); do touch file_$i done # 后台启动 filemon记录资源占用 sudo filemon -r /tmp/stress -f --outputjson \ --merge-window200 --rate-limit5000 \ /tmp/filemon_stress.jsonl FM_PID$! # 用 /usr/bin/time 或者 pidstat 观察 filemon 的 CPU pidstat -p $FM_PID 1 10 /tmp/filemon_cpu.txt PIDSTAT$! # 模拟写入 for round in $(seq 1 1000); do for i in $(seq 1 100); do echo data $round /tmp/stress/file_$i done done # 收尾 kill $PIDSTAT kill $FM_PID wait # 统计事件数和丢失情况 wc -l /tmp/filemon_stress.jsonl grep -c rate_limit_exceeded /tmp/filemon_stress.jsonl || true跑完之后看三个数事件总行数、rate_limit 触发的次数、pidstat 里 filemon 的平均 CPU。我的经验值是merge_window200 能把 10 万次写入压到 2 万条左右事件CPU 占用在单核 30% 到 50% 之间。如果 rate_limit 触发次数超过总事件数的 1%说明阈值设低了要么调大 rate_limit要么把 merge_window 再放宽到 500。但 merge_window 超过 500 之后事件的时间精度就降到半秒级做时序分析会失真。另一个校准点是--max-watches。用find /path -type d | wc -l先数一下目录数量然后把这个值乘以 1.2 作为 max-watches 的初始值。如果目录数超过 10 万强烈建议改用 fanotify 的 mount 模式命令是filemon --mount/data -f -p它不建 per-directory watch内存和 CPU 都稳定得多。mount 模式的限制是只能监控整个挂载点不能只监控子目录但可以用--exclude做路径过滤来弥补。最后说一个我自己的习惯每次调整 filemon 参数后不要直接上生产先在测试机上用--dry-run跑一遍。V4.33 的--dry-run会解析配置、打印将要监控的路径和生效参数但不实际注册事件。这个功能帮我省过好几次因为路径写错导致监控空转的尴尬。校准这件事没有一劳永逸的参数不同文件系统ext4、xfs、btrfs的事件行为有差异NVMe 和机械盘上的写入模式也完全不同跑一次压力测试花不了十分钟但能让你后面几个月少收很多误报。希望帮到你。本文还有配套的精品资源点击获取