有没有办法查看用户在 Linux 中删除了哪些文件？

Question

有没有办法查看用户在日常工作中删除了哪些文件。我知道bash_history，但我想知道是否还有比这更多的东西。问题是关于普通 Ubuntu（大概是任何 Linux）服务器安装。

如果 a在其主目录中user运行rm -fr dir1，是否会有事件日志？我有办法轻松启用这样的功能吗？

编辑：我可以在安装任何东西之前找到吗？两个答案都很棒！

谢谢

Answer 1

要监视文件系统操作，您需要使用 inotify 或内核的内置审计系统。查看此页面 ，简要概述您的选项。inotify 和 auditctl 的手册页也非常有价值。

这些进程会告诉您何时更改某个文件，无论它是否作为用户历史记录中的命令（例如，通过 GUI 文件管理器等）完成。

Answer 2

您可以启用流程记帐来执行此操作。

apt-get install acct

安装后，您将能够看到用户使用lastcomm username. man lastcomm更多选择。