Оказывается, можно выяснить, какой пользователь последний модифицировал файл, даже если это обычная файловая система и никакой системы контроля версий нет.
Секрет — в
auditd, который отслеживает события уровня ядра.Вот как включить отслеживание изменений для конкретного файла:
# Включаем слежение за изменениями файла
auditctl -w /etc/nginx/nginx.conf -p w -k nginx_watch
# Потом можно посмотреть, кто и когда его правил:
ausearch -k nginx_watch
🧠 Кто редактировал файл — точно и с логами
📌 Работает с любыми файлами: конфиги, скрипты, ключи
📌 Видно: кто, когда, чем, с каким PID
📌 Отлично для отладки, расследований, CI/CD и безопасных систем
Идеальный инструмент, если "что-то сломалось, но никто ничего не трогал.
Видео
@linuxkalii