Как я могу контролировать удаление /dev/null

Обычно я использую inotfiy_add_watch для отслеживания удаления файлов, он работает для обычных файлов или даже для большинства файлов устройств (/dev/zero и т. д.), но не работает для /dev/null. Кажется, что любые операции с ним не вызовут события inotify. Почему? Есть ли другой способ контролировать rm /dev/null? спасибо!

В Linux inotify ограничен тем, что он зависит от файловой системы. Документация говорит, что «различные псевдофайловые системы, такие как /proc, /sys и /dev/pts, не отслеживаются с помощью inotify»

Система аудита Linux способен регистрировать произвольные системные вызовы. Пример наблюдения за файлами, которое вы можете добавить /etc/audit/rules.d/specialdev.rules может быть:

-a всегда,выход -F arch=b64 -S разъединить,развязать,переименовать,переименовать -F успех=1 -F путь=/dev/null -k specialdev
-a всегда,выход -F arch=b32 -S отвязать,отвязать,переименовать,переименовать -F успех=1 -F путь=/dev/null -k specialdev

Обратите внимание на фильтрацию определенных системных вызовов, которые фактически удаляют файл, а не просто записывают в него. Запросите последние записи с чем-то вроде:

ausearch --начать вчера --завершить сейчас --key specialdev

Из этих записей в журнале вы можете узнать, когда это произошло, идентификатор процесса и связь, различные разновидности uid и контекст selinux. Хорошие подсказки, но вам все равно придется немного поискать сломанный сценарий оболочки или что-то в этом роде.