Отслеживание доступа к корневой файловой системе: процесс и имя файла

Я запускаю Linux на eMMC.

Я хочу уменьшить количество операций ввода-вывода, выполняемых на устройстве.

Я не люблю искать иголку в стоге сена.

Мне нужен способ отследить доступ к устройству.

Я хочу увидеть идентификатор процесса и имя файла, который выполняет операции записи в eMMC.

К сожалению, до сих пор я не мог найти способ сделать это.

Я мог бы запускать это каждую секунду, но приветствуется более надежное решение:

ls -ltr /proc/*/fd| grep -vE '/dev/|socket|pipe'

Любые подсказки, как найти информацию, которую я ищу?

Кстати, я уже применил подсказки из этого ответа: https://raspberrypi.stackexchange.com/a/186

Я использую ubuntu 16.04

Пытаться sysdig.

bash-4.1$ sysdig -l | grep write
                 However, for some events (like writes to /dev/log) it provides
evt.is_io       'true' for events that read or write to FDs, like read(), send,
evt.is_io_write 'true' for events that write to FDs, like write(), send(), etc.
                that write to FDs, like write().
evt.is_syslog   'true' for events that are writes to /dev/log.
evt.is_open_write
bash-4.1$ sysdig -l | egrep 'proc.pid|fd.name'
fd.name         FD full name. If the fd is a file, this field contains the full
proc.pid        the id of the process generating the event.

Так что, возможно, что-то вроде:

sudo sysdig -p '%proc.pid %fd.name' evt.is_io_write exists

Упс, что соответствует sysdig (и мой сеанс SSH).

sudo sysdig -p '%proc.pid %fd.name' \
  "evt.is_io_write exists and not ( proc.name contains sysdig or proc.name contains ssh )"

Все еще немного занят. Это лучше на моей тестовой системе:

sudo sysdig -p '%proc.pid %fd.name %fd.type' "evt.is_io_write exists and fd.typechar = f and not ( fd.name contains /dev or fd.name contains /proc or fd.name contains eventfd or fd.name contains signalfd or fd.name contains kvm- )"

Или вы можете отфильтровать fd.name с путем, а затем исключить /dev и /proc...