Mi chiedevo se esiste un modo consolidato per sapere cosa potrebbe lasciare un particolare programma in esecuzione su un sistema (in termini di modifiche a un filesystem, come in Linux). Sto pensando a questo in modo simile a come penso che possa svolgersi un'indagine forense.
Il modo in cui ho pensato di affrontare questo problema è simile a come credo che Tripwire funzioni. Innanzitutto creando un hash di directory, trova quali sono stati modificati, quindi per restringere i file specifici da quelle directory che sono state modificate. Quindi, utilizzando una macchina virtuale con istantanee, posso tornare allo stato precedente della macchina e confrontare le modifiche future con le modifiche registrate in precedenza.
So che le directory di logging e tmp cambieranno comunque in modo naturale. Ma oltre a questi c'è un modo per sapere cosa viene lasciato in un sistema, o c'è un processo migliore (o più intelligente) di quello che sto pensando di usare?