#fanotify — Public Fediverse posts

Fanotify — что он может дать по сравнению с inotify и что попросит взамен

Привет, Хабр! На связи Даниэль из InfoWatch, разработчик решений класса информационной безопасности. В предыдущей статье мы рассматривали задачу контроля целостности в среде Linux с помощью системного интерфейса inotify. Поговорили о ключевых недостатках, с которыми приходится сталкиваться в ходе работы с самим инструментом напрямую. Наверное, многие из вас знают, что существует другой более совершенный и более функциональный системный интерфейс — fanotify. В рамках данной статьи мы продолжим рассматривать задачу мониторинга объектов файловой системы, но уже через призму fanotify. Попробуем ответить на вопросы, решает ли данный инструмент описанные ранее проблемы. Введение Начнём с краткой сводки по fanotify. fanotify представляет собой kernel-интерфейс, позволяющий мониторить события файловой системы в режиме реального времени. Определение такое же, как и для inotify. Почти. Существенная разница в том, что список обрабатываемых событий у fanotify гораздо шире, а также есть возможность принимать решение kernel-характера в user space. Простыми словами: вы можете разрешать/запрещать запуск программ без написания драйверов (модулей ядра), так как fanotify позволяет разрешить/запретить создание процесса в пользовательском пространстве.

https://habr.com/ru/companies/infowatch/articles/1043972/

#fanotify #inotify #linux #информационная_безопасность #golang

Ummm 🤔

#linux #kernel #bpf #fanotify #lsm #opensource

https://lwn.net/Articles/1018493/

Do you ever wish that you could monitor cgroup creation / removal race-free with fanotify? Now you can! Any kernfs works!

Linux v6.6-rc1 is out and it contains my commit:

* https://github.com/torvalds/linux/commit/0ce7c12e88cf

Example usage in Go:

* https://github.com/cloudflare/ebpf_exporter/pull/244

All you do is ask for events from a mount and then read them in a loop. No need to re-arm watches like with inotify.

The patch is trivial and can be easily backported if you want it in an older kernel.

#linux #kernel #ebpf #fanotify #cgroups

I just released #fatrace 0.17.0, with a nice contribution to fix zfs monitoring, and some bug fixes. Already uploaded to #debian.

#fanotify #Linux #performance #debug

https://github.com/martinpitt/fatrace/releases/tag/0.17.0

Released earlier this month, kernel 5.16 is full of great features, including two that had been in development for some time by our kernel team: the new #futex syscall & the new #fanotify event! Here's a look at our contributions: https://col.la/lk516 #futex2 #embedded