루트 파티션에서 최근에 어떤 파일과 디렉터리가 디스크 공간을 차지했는지 확인할 수 있는 믿을 수 있는 방법이 있습니까?

Question

위의 간단한 명령을 사용하여 마지막으로 수정된 파일과 디렉터리를 가져올 수 있습니다 mtime.

# Get files/dirs modified during the last 15 days and then desc  sort with disk usage and print the first 10 lines
find / -mtime -15  | xargs -I {} du -sm {} | sort -rn | head -10
# Get files/dirs modified during the last 60 minutes and then desc sort with disk usage and print the first 10 lines
find / -mmin -60 | xargs -I {} du -sm {} | sort -rn | head -10
# Get files/dirs modified between 2020-12-18 and 2020-12-19 then desc sort with disk usage  and print the first 10 lines
find / -newermt 2020-12-18 ! -newermt 2020-12-19 | xargs -I {} du -sm {} | sort -rn | head -10

시스템이 생성 시간을 저장할 수 있으면 이를 대신 사용할 수 있습니다 crtime.

crtime먼저 설정된 파일을 확인하십시오 .

## Output should be different than - sign
stat -c '%w' <file>

B그런 다음 옵션과 함께 동일한 find 명령을 사용할 수 있습니다 Birth Time.

# Get files/dirs **created** between 2020-12-18 and 2020-12-19 then desc  sort with disk usage and print the first 10 lines
find / -newerBt 2020-12-18 ! -newerBt 2020-12-19 | xargs -I {} du -sm {} | sort -rn | head -10

파일 시스템에서 이를 처리할 수 있지만 Birth Timestat 명령에 표시되지 않는 경우 다음을 통해 파일이 저장된 장치의 수준을 직접 확인할 수 있습니다.

# Getting the inode number
ls -i <file>
# Then get crtime 
debugfs -R 'stat <inode_no>' <device>

@PascalVKooten이 작성한 Python 패키지가 있습니다.스택 오버플로 스레드생성 시간을 가져오는 데 사용할 수 있는 호출 crtime이 재귀적(테스트되지 않음)인지는 모르겠지만 다음과 같은 출력을 제공합니다.

1552938281  /home/pascal/crtime/.gitignore
1552938285  /home/pascal/crtime/README.md
1552938282  /home/pascal/crtime/crtime
1552938288  /home/pascal/crtime/deploy.py

그런 다음 타임스탬프를 내림차순으로 정렬하고 날짜/시간으로 변환할 수 있습니다(필요한 경우).

sudo crtime ./ | awk '{print$1}' | sort -rn |  xargs -I {} date -d @{}

Mon Mar 18 20:44:48 +01 2019
Mon Mar 18 20:44:45 +01 2019
Mon Mar 18 20:44:42 +01 2019
Mon Mar 18 20:44:41 +01 2019

마지막으로 특정 파일이나 디렉터리를 편집한 마지막 프로세스를 얻으려면 사용자 auditctl정의 규칙을 사용 및 설정한 다음 ausearch.

동일한 작업을 수행할 수도 있지만 inotify-tools전체 루트 파일 시스템에 대해 수행하면 메모리 사용량에 심각한 영향을 미칠 것이라고 생각합니다.

Lsof가장 최근 파일이 아닌 현재 열려 있는 파일을 포함하기 때문에 작동하지 않습니다.

또한 타사 도구에 액세스할 수 있는 경우 ncdu 확장 정보 모드 활성화를 사용하여 추가 속성별로 정렬하면 mtime출력을 파일로 내보낼 수 있습니다.

Answer 1