lsof (List Open Files)

lsof ("list open files") liste les fichiers ouverts par les processus — incluant régulier files, sockets réseau, pipes, devices. Indispensable pour troubleshooting "qui utilise ce fichier ?", "qui écoute ce port ?", investigation deletion files busy.

Utilisations : (1) `lsof` — tous open files (long !) ; (2) `lsof -p PID` — par process ; (3) `lsof -u user` — par user ; (4) `lsof /path/to/file` — qui a ce file ouvert ; (5) `lsof +D /directory` — récursif dans dir ; (6) `lsof -i :443` — qui écoute/connecte port 443 ; (7) `lsof -i tcp` — TCP connections ; (8) `lsof -i 4` — IPv4 only ; (9) `lsof -n -P` — numerical (no DNS, no port lookup — faster) ; (10) `lsof | grep deleted` — find deleted files still held open (disk space "missing").

Use cases critiques : (1) **"Cannot unmount, device busy"** — `lsof /mnt/data` montre qui retient ; (2) **"Disk full but du shows space free"** — fichier log deleted mais file descriptor encore open par process (Apache log rotated wrongly), `lsof | grep deleted` ; (3) **Port already in use** — `lsof -i :8080` identifie le processus ; (4) **Investigation security** — quels files un suspect process accède ; (5) **Resource limits** — process near ulimit -n (file descriptors), `lsof -p PID | wc -l`.

Moderne alternative : `ss -tlnp` pour sockets seulement (plus rapide que lsof réseau), `fuser` (simpler for files), eBPF tools. Compétences RHCSA, CKA, LFCS.