É possível saber quando os arquivos foram apagados?

Question

É possível saber isso?, como quando eles foram excluídos, por qual usuário, etc; ou qualquer informação sobre os arquivos foi completamente apagada

    

Answer 1

Se por exclusão, você quer dizer "movido para a lixeira", sim e não. Você sempre saberá quem moveu o arquivo para a lixeira, porque ele acabará na lixeira. Você não saberá quando foi movido para a lixeira, porque as operações de movimentação não atualizam o registro de data e hora do arquivo.

Se por exclusão, você quer dizer rm ou "Esvaziar lixeira", não. Os sistemas de arquivos ext2 / 3/4 não pretendem undeletion como um recurso e, portanto, não armazenam meta-informações como você está procurando.

É claro que, se você realizar backups regulares, poderá extrapolar uma janela de tempo para a exclusão.

    

Answer 2

Se você estiver interessado em um determinado arquivo ou diretório inotifywait pode ser usado, mas não lhe dirá quem o fez. Além disso, as notificações não farão distinção entre uma gravação comum em um arquivo e o preenchimento do arquivo com lixo ou truncamento.

Por exemplo:

$ inotifywait -q /var/tmp/junk & sleep 2; touch /var/tmp/junk
/var/tmp/junk OPEN 
$ inotifywait -q /var/tmp/junk & sleep 2; cat /etc/hosts > /var/tmp/junk
/var/tmp/junk MODIFY 
$ inotifywait -q /var/tmp/junk & sleep 2; cat /dev/null > /var/tmp/junk
/var/tmp/junk MODIFY 
$ inotifywait -q /var/tmp/junk & sleep 2; rm /var/tmp/junk
/var/tmp/junk ATTRIB

Observe que, sem a opção --monitor do inotify, até mesmo o comando rm só aparece como uma ação ATTRIB porque rm primeiro verifica as permissões no arquivo.

Isso provavelmente não é nem perto do que você está procurando, mas pode ser útil. A comparação com backups sugeridos por djeikyb fornecerá informações muito mais detalhadas.