Если удалили “не то”, или скрипт стёр лишнее — при включённом
auditd ядро фиксирует вызовы unlink/unlinkat.Показать последние удалённые файлы:
sudo ausearch -x rm -sc unlink
Здесь будут: время, PID, пользователь и путь удалённого файла.
Хотите отслеживать удаления в режиме близком к реальному времени?
sudo auditctl -w / -p wa
Это включает контроль изменений по всей системе (в проде лучше ставить watch на конкретные каталоги)
После этого смотрим события:
ausearch -sc unlink
🔥 Пригодится при расследованиях, ошибочных deploy-скриптах и случайных
rm.🚪 Linux Ready | #совет