Você pode usar auditd . Para instalá-lo, execute o seguinte comando no terminal:
sudo apt-get install auditd
Como defino um relógio em uma pasta para auditoria?
sudo auditctl -w /path/to/folder -p rwx -k password-file
O comando acima monitora /path/to/folder para qualquer pessoa que possa executar uma operação de gravação, leitura ou execução nessa pasta.
Como descubro quem alterou ou acessou uma pasta?
Use o comando ausearch da seguinte forma:
sudo ausearch -f /path/to/folder -i | less
Mais sobre: auditoria do Linux arquivos para ver quem fez alterações em um arquivo .