Лучше чем iotop!

Спасибо, я, разумеется, сперва проверил google. Но у меня складывается странное ощущение, что никого из линуксоидов никогда не интересовало какой процесс (ветка процессов) сколько и куда пишет данных и откуда читает. В винде соотв. монитор ресурсов появился аж пять лет назад. А тут изобилие утилит для просмотра открытых файловых дескрипторов по процессам (тот же lsof), но нет IO. Или есть IO, по процессам, но нет привязки к конкретным файлам (iotop).

В общем, я там нашел:

Для x32:

#define __NR_read 3
#define __NR_write 4
#define __NR_open 5
#define __NR_close 6
#define __NR_creat 8
#define __NR_unlink 10

Для x64:

#define __NR_read 0
#define __NR_write 1
#define __NR_open 2
#define __NR_close 3
...
#define __NR_creat 85
#define __NR_unlink 87

Написал правила:
-a exit,always -F arch=b32 -S 3 -S 4 -S 5 -S 6 -S 8 -S 10 -F dir=/root
-a exit,always -F arch=b64 -S 0 -S 1 -S 2 -S 3 -S 85 -S 87 -F dir=/root

(прим. я пробовал и так: -a exit,always -F arch=b64 -S open -S close -S read -S write -S unlink -F dir=/root)

Затем:
# touch test.file
# echo 111 >> test.file
# cat test.file
111
# rm test.file

В логах:

type=SYSCALL msg=audit(1367383630.761:87): arch=c000003e syscall=2 success=yes exit=3 a0=7fffdf6ab8ee a1=941 a2=1b6 a3=7fffdf6a9d60 items=3 ppid=18557 pid=30618 auid=1000 uid=0 gid=0 euid=0 suid=0 fsuid=0 egid=0 sgid=0 fsgid=0 ses=3 tty=pts0 comm="touch" exe="/bin/touch" key=(null)
type=PATH msg=audit(1367383630.761:87): item=0 name="test.file" inode=262145 dev=08:03 mode=040700 ouid=0 ogid=0 rdev=00:00
type=PATH msg=audit(1367383630.761:87): item=1 name=(null) inode=262145 dev=08:03 mode=040700 ouid=0 ogid=0 rdev=00:00
type=PATH msg=audit(1367383630.761:87): item=2 name=(null) inode=262152 dev=08:03 mode=0100644 ouid=0 ogid=0 rdev=00:00
type=SYSCALL msg=audit(1367383646.251:88): arch=c000003e syscall=2 success=yes exit=3 a0=7fffbee658f2 a1=0 a2=0 a3=7fffbee63aa0 items=1 ppid=18557 pid=30621 auid=1000 uid=0 gid=0 euid=0 suid=0 fsuid=0 egid=0 sgid=0 fsgid=0 ses=3 tty=pts0 comm="cat" exe="/bin/cat" key=(null)
type=PATH msg=audit(1367383646.251:88): item=0 name="test.file" inode=262152 dev=08:03 mode=0100644 ouid=0 ogid=0 rdev=00:00

# aureport -f

File Report
===============================================
# date time file syscall success exe auid event
===============================================
1. 05/01/2013 08:47:10 test.file 2 yes /bin/touch 1000 87
2. 05/01/2013 08:47:26 test.file 2 yes /bin/cat 1000 88

Т.е. логируется из всего списка лишь syscall равный 2 (open для x64)
Опытным путем было установлено, что arch=c000003e - это x64 (кстати, в документации об этом ни слова. Забравшись в гугле аж на третью страницу я все еще не нашел ответа, какой номер чему соответствует).

В общем, аудит упорно не желает поддаваться.
Какие-нибудь подсказки?