哦哟，听说你想在Debian系统上搞个inotify日志配置，对吧？哎呀，这可是一门学问呢！ 简直了。 下面我就来给你娓娓道来不过别指望我写成那种教科书似的文章，我这可是要带点个人色彩的。

什么是inotify？

inotify嘛， 就是一种文件系统事件监控机制，相当于是个小眼睛，可yi实时盯着你的文件和目录， 观感极佳。 一旦有啥变动，它就立刻通知你。这在系统监控方面可是有大用场啊！

配置inotify日志记录

先说说你得确保你的系统里安装了inotify-tools和rsyslog。安装这些东东， 简单得hen，直接在终端里输入以下命令：，我跪了。

sudo apt-get update
sudo apt-get install inotify-tools rsyslog

配置inotify-tools

如guo你用的是rsyslog，那你就得配置它了。打开你的rsyslog配置文件， 通常在/etc/rsyslog.d/目录下比如叫inotify.conf：，也许吧...

local7.* /var/log/inotify.log

这样设置后suo有的inotify日志dou会被记录 踩雷了。 到/var/log/inotify.log文件里去。

监控日志文件

想要监控某个日志文件的变化，你可yi使用inotifywait命令。比 蚌埠住了！ 如 你想要监控/var/log/syslog文件的变化，可yi这样操作：

inotifywait -m -e modify,attrib,close_write,move,create,delete /var/log/syslog | while read directory events filename; do
    echo "文件$filename在目录$directoryYi经被修改了。"
done

这里面的-e参数是用来指定你要监控的事件类型， -m参数是让inotifywait持续监控，直到你手动停止它。

使用auditd记录inotify事件

审计审计，听起来就挺严肃的。其实auditd就是一个用来审计系统事件的工具，你也可yi用它来记录inotify事件。先说说 创建一个新的审计规则文件，比如叫audit-inotify.rules：，太水了。

-a always,exit -F arch=b64 -S open -C inotify_event -f 2 -k inotify_open

ran后把这条规则加到audit规则文件里通常是/etc/audit/rules.d/目录下的文件里。配置完之后 重启auditd服务：

sudo systemctl restart auditd

查kaninotify日志

想要查kan与inotify相关的日志，你可yi使用journalctl命令：

journalctl -u rsyslog

huo者使用ausearch命令：

ausearch -k inotify

好了