inotify è una funzionalità del kernel Linux che consente ai programmi di monitorare file e directory per eventi come creazione, eliminazione, modifica, rinomina o cambiamenti degli attributi. Le applicazioni lo usano per attività come la sincronizzazione delle cartelle, l'aggiornamento degli indici e la risposta alle modifiche in tempo reale.
Nella sicurezza informatica, inotify è importante perché i flussi di eventi possono rivelare più del contenuto dei file. Un attaccante che può osservare le directory monitorate può dedurre l'attività dell'utente dal tempo e dai modelli degli eventi, anche senza leggere i dati protetti. Ad esempio, raffiche di eventi sui file possono suggerire l'uso di un'applicazione, l'esecuzione di script o l'apertura e il salvataggio di documenti sensibili. Anche i difensori fanno affidamento su inotify per il monitoraggio e il rilevamento, ma dovrebbero mantenere ristretto l'ambito dei watcher, proteggere i percorsi sensibili ed evitare di esporre ampie directory padre. Usato con attenzione, inotify è una fonte utile di telemetria; usato in modo imprudente, può diventare un canale laterale di metadati.