Como saber quem acessou um arquivo ou se um arquivo tem monitor 'access' no linux

2

Sou um noob e tenho algumas dúvidas sobre como ver quem acessou um arquivo.

Descobri que existem maneiras de ver se um arquivo foi acessado (não modificado / alterado) por meio do subsistema de auditoria e inotify.

No entanto, pelo que li on-line, de acordo com o seguinte: link

diz para 'assistir / monitorar' arquivo, eu tenho que definir um relógio usando o comando como:

# auditctl -w /etc/passwd -p war -k password-file

Então, se eu criar um novo arquivo ou diretório, eu tenho que usar o comando audit / inotify para 'set' watch primeiro para 'watch' quem acessou o novo arquivo?

Existe também uma maneira de saber se um diretório está sendo 'vigiado' por meio do subsistema de auditoria ou inotify? Como / onde posso verificar o log de um arquivo?

edit:

de outras pesquisas, encontrei esta página dizendo: link

A API inotify não fornece informações sobre o usuário ou processo que acionou o evento inotify.

Então, acho que isso significa que não consigo descobrir qual usuário acessou um arquivo? Apenas o subsistema de auditoria pode ser usado para descobrir quem acessou um arquivo?

    
por J L 04.04.2012 / 00:03

1 resposta

0

Esta é uma abordagem de força bruta, mas você pode examinar a .bash_history do usuário no diretório inicial. Isso armazenará apenas uma certa quantidade de linhas.

Isso pode funcionar, não estou dizendo que funcionará:

Isso pressupõe que seus diretórios pessoais estão em / home e que o usuário não removeu seus diretórios bash arquivo de histórico ou mover seu arquivo de histórico.

for i in 'ls /home/' do 

    echo "CURRENT USER IS $i"
    grep <filename> /home/$i/.bash_history | less 

done

que deve encontrar referências nos históricos bash dos usuários nos hosts.

Em seguida, você pode usar a última saída para ver quem efetuou login no momento em que o registro de data e hora do arquivo que você está inspecionando foi alterado. Procure tempos próximos ao horário que o registro de data e hora no arquivo diz.

Você também vai querer procurar referências ao comando echo ou qualquer coisa usando o redirecionamento, já que o arquivo poderia ter sido modificado com um redirecionamento, por exemplo, echo "test" > file_I_should_not_edit ou echo "foo" > > append_to_file_i_should_not_edit.

Eu gostaria de poder contar uma resposta exata para o seu problema.

    
por 08.04.2012 / 05:47