Используйте auditctl для мониторинга изменений в критичных файлах:
sudo auditctl -w /etc/passwd -p wa -k passwd_changes
➡️ -w /etc/passwd — следить за файлом паролей.
➡️ -p wa — отслеживать операции записи и атрибутов.
➡️ -k passwd_changes — задаёт тег для событий.
Используется для:
— Быстрого выявления попыток несанкционированного изменения.
— Поддержания целостности системы.
— Аудита безопасности в реальном времени.
🐸 Библиотека хакера
#буст