inotify

スポンサーリンク

inotify とは、Linux の ファイルシステム のイベントを監視するための仕組みです。FreeBSD における kevent/kqueue といえます。

読み方

inotify

あいのーてぃふぁい

概要

inotify は、Linux において ファイル改竄検知(セキュリティ監視)に役立つ仕組みです。inotify-toolsを利用することで、リアルタイム監視を簡単に実現できます。

inotify は、ファイルシステム を監視するためのシステムコールを提供します。inotify-tools は、inotifyの機能を利用するためのプログラムを提供します。

inotify は、Linuxカーネル 2.6.13 で、組み込まれました。　 ファイルシステムのイベント監視は、ファイルマネージャーやセキュリティのツールなどに必要不可欠です。inotify は、１つのファイル記述子を開くことで、１つ以上のファイルやディレクトリのオープン、クローズ、移動・名前の変更、削除、作成、属性の変更などのイベントを指定して監視できます。 イベント監視に select や poll を使用できます。 inotify は、再帰的に監視できません。サブディレクトリの監視には、サブディレクトリを inotify_add_watch() で追加する必要があります。

inotify 以前のdnotify では、ディレクトリごとにファイル記述子を開く必要があり、複数の監視対象が存在する場合、コストが大きく、シグナルハンドリングの扱いにくさも問題でした。また、dnotify では、変更を調べるために stat の情報を持ち続けて、比較しなければなりませんでした。

インストール

inotify の API を C言語から利用する場合には、インストールするものはありません。 inotify-toolsは、インストールが必要です。inotify-toolsを参照してください。

サンプルコード inotify.c

このプログラムは、一度だけ、イベントを拾って、終了します。 一回の read で取得できるイベントだけを取得します。 バッファサイズの上限を超える場合は、うまくハンドリングできないでしょう。

#include <stdio.h>
#include <stdlib.h>
#include <err.h>
#include <errno.h>
#include <unistd.h>
#include <sys/types.h>
 
#include <sys/inotify.h>
#include <linux/limits.h>
 
#define INOTIFY_BUFFER_SIZE     ((sizeof(struct inotify_event) + NAME_MAX + 1) * 4096)
 
int
Inotify_init (void) {
        int fd = inotify_init ();
        if (fd < 0) {
                perror ("inotify_init");
                return (fd);
        }
        return (fd);
}
 
int
Inotify_add_watch (int fd, const char *pathname, uint32_t mask) {
        int     watch_fd = inotify_add_watch (fd, pathname, mask);
        if (watch_fd == -1) {
                warn ("can not add inotify:fd=%d, path=%s, mask=%u",
				fd, pathname, mask);
        }
        return (watch_fd);
}
 
int
read_events (int fd) {
        int     r = -1;
        char    buffer [INOTIFY_BUFFER_SIZE] = { 0 };
        struct inotify_event    *event_ptr = NULL;
 
        r = read (fd, buffer, INOTIFY_BUFFER_SIZE);
        if (r <= 0) {
                return (r);
        }
 
        int offset = 0;
 
        while (offset < r) {
                event_ptr = (struct inotify_event *) & buffer [offset];
 
                (void) printf ("name=%s\n", event_ptr->name);
 
                offset += sizeof (struct inotify_event) + event_ptr->len;
        }
 
        return r;
}
 
int
main (int argc, char *argv[])
{
        int     inotify_fd = Inotify_init();
        if (inotify_fd < 0) {
                errx (EXIT_FAILURE, "can not init inotify");
        }
        long    mask    = IN_ALL_EVENTS;
        char    *path1  = "/tmp";
 
        int     wd1 = Inotify_add_watch (inotify_fd, path1, mask);
 
        read_events (inotify_fd);
 
        exit (EXIT_SUCCESS);
}

使い方

$ cc inotify.c

a.out を実行し、 /tmp のファイルを適当にいじります。

$ ./a.out

/tmp/b に追記してみました。

$ echo hoge >> /tmp/b

/tmp/b に追記したとき、３つのイベントが取得されました。

$ ./a.out
name=b
name=b
name=b

カーネルパラメーター

inotify に関連するカーネルのパラメーターがあります。

$ ls /proc/sys/fs/inotify/
max_queued_events  max_user_instances  max_user_watches

関連項目

• inotify
• inotify-tools
• inotifywait
• inotifywatch
• libinotify
• Tripwire
• Linuxカーネル
• Linux
• ファイルシステム

---

ツイート

スポンサーリンク