Отслеживание незаконных процессов

У меня есть стабильный сервер debian, и я пытаюсь найти процесс, который просыпается каждый час ровно в xh22 (1h22, 2h22, 3h22 и т. Д.) И записывает что-то на диск. Однако я не могу найти ни процесс, ни то, что он пишет (я знаю, что что-то записывается, когда диск раскручивается).

Я очистил cron.hourly, отключил ведение журнала ядра ($ ModLoad imklog в /etc/rsyslog.conf), активировал block_dump (echo 1> / proc / sys / vm / block_dump) и контролировал доступ к диску (смотрите "dmesg -c >> /tmp/mytemp/trace.txt ").

Каждый час я вижу такие строки:

[2013-05-29 01:22:03] jbd2/sda1-8(224): WRITE block 25459816 on sda1 (8 sectors)
[2013-05-29 01:22:03] jbd2/sda1-8(224): WRITE block 25459824 on sda1 (8 sectors)
[2013-05-29 01:22:03] jbd2/sda1-8(224): WRITE block 25459832 on sda1 (8 sectors)
[2013-05-29 01:22:03] jbd2/sda1-8(224): WRITE block 25459840 on sda1 (8 sectors)
[2013-05-29 01:22:03] jbd2/sda1-8(224): WRITE block 25459848 on sda1 (8 sectors)
[2013-05-29 01:22:03] jbd2/sda1-8(224): WRITE block 25459856 on sda1 (8 sectors)
[2013-05-29 01:22:03] jbd2/sda1-8(224): WRITE block 25459864 on sda1 (8 sectors)
[2013-05-29 01:22:05] jbd2/sda1-8(224): WRITE block 25459872 on sda1 (8 sectors)

Но не могу найти, что пишется:

debugfs /dev/sda1
debugfs 1.42.5 (29-Jul-254598162012)
debugfs:  icheck 25459816
Block   Inode number
25459816   <block not found>

Может ли кто-нибудь помочь мне отследить этот процесс? Я думаю, что это не журналируемая файловая система (sda1 - это раздел ext4 с noatime).

Или, может быть, кто-нибудь может дать мне общий подход к отслеживанию того, что записывается на диск?

Спасибо !