Как отловить редактирование файла процессом, пользователем на Linux-сервере?

Question

[pashaxp]

1. Был файл и его не стало.
2. Файл неожиданно был отредактирован.

Каким образом (какой утилитой) понять, кем или чем было сделано?
Взлом сервера и злоумышленные действия на 99% исключены, это что-то внутри системы происходит.

Хочется решения типа "запись в лог всего происходящего на сервере" (кто и когда отредактировал/добавил/удалил файл в системе).

Answer 1

[Влад Животнев]

Snoopy для начала попробуйте.
Если не поможет - тогда скрипт для inotify уже.

Answer 2

[Сергей Протько]

rsyslog.d + inotify, поидее можно написать небольшой демон который будет отлавливать изменения файлов и писать в лог кто это сделал.

Answer 3

[Alexey Lesovsky]

мне нравится auditd, прост в настройке и запуске, может отслеживать практически все что происходит в системе (я следил за тем кто, что, когда и с какими параметрами запаускает).

p.s. и да, самому писать ничего не нужно;)

Answer 4

[Алексей Черемисин]

Inotify в помощь ru.wikipedia.org/wiki/Inotify
И rus-linux.net/MyLDP/kernel/Inotify-tools.html

Answer 5

[stream13]