Мне любопытно, когда именно конкретный каталог используется и когда он загружается в память. Есть ли способ поместить ловушку низкого уровня в файловую систему Linux, которая сообщает, что когда файл с опцией выполнения читается, запишите это событие.
Другие вопросы освещают инструменты аудита или отслеживания в определенной оболочке. На мой взгляд, идеальное решение будет блокировать исполняемые файлы, если транзакция журнала не будет успешной и не будет вызвана наличием файла конфигурации (например, executetabletracker.conf).