Hoje me deparei com um arquivo chamado ~user/.nautilus/saved-session-XXXXXX . Nele pode-se ver algum tipo de atividade do usuário de registro via Nautilus. Também em ~user/.gconf/apps/gedit-2 se pode encontrar coisas interessantes.
Existe um arquivo onde o Nautilus rastreia a atividade do usuário? Existe um arquivo que declara arquivos acessados, movidos, copiados, excluídos, etc. via Nautilus?
O Nautilus mantém um histórico dos diretórios visitados, que podem ser acessados através do menu ou painel de histórico.
Ele não parece manter o tipo de registro que você está procurando. Se você precisar desse tipo de auditoria de segurança, deve considerar a configuração de um sistema de arquivos que registre esse tipo de alteração ou permita a captura instantânea para que possa fazer suas próprias comparações.
Após uma pausa no trabalho, abra o nautilus, trabalhe com algo e, em seguida:
find ~user/.gconf -mmin -10 -ls
find ~user/.nautilus -mmin -10 -ls
, que encontrará arquivos modificados nos últimos 10 minutos.