Как отследить какой процесс создает файл в папке?

в веб директории

Это где?

Есть lsof, fuser. Но это если файл не закрыли еще. Если закрыли то, думаю, никак.

После удаления файл появлется через какое-то время снова ОС Ubuntu, Apache + Nginx, появляется в корне веб /home/admin/web/site.com

Пользователей на сервере кроме root и admin нет.

-rw-r–r– 1 admin admin 862 Mar 29 18:16 a4fc50a06d7935a39f0e9fb14af4b7e2

https://superuser.com/questions/1356879/monitor-which-process-create-a-file

Скорее всего файл создаёт какой-то из скриптов сайта, который там крутится. Если так - знание процесса тебе ничем не поможет, так как все скрипты выполняются одним и тем же веб-сервером.

Можно попробовать закрыть директорию на запись, полистать логи на ошибки.

man auditd

Можно попробовать закрыть директорию на запись, полистать логи на ошибки.

Плюсую. Хотел то же самое предложить.

плюсую этого регистранта

Включил мониторинг auditd, посмотрим результаты auditctl -w /home/admin/web/site/public_html/ -p wa -k test_watch