Làm thế nào tôi có thể tìm ra người dùng nào đã xóa một thư mục?

Máy chủ Ubuntu của tôi có khoảng 30 người dùng hoạt động trên đó. Cá nhân tôi biết tất cả mọi người sử dụng máy chủ. Gần đây, một vài người bạn và tôi đang làm việc trong dự án. Chúng tôi đã tạo một thư mục mới cho dự án và vì mọi người đều biết mọi người nên chúng tôi không bận tâm đến việc bảo vệ công việc của mình dưới một loạt các quyền. Mặc dù vậy, chúng tôi nên có, bởi vì chúng tôi thức dậy sáng nay và thấy rằng ai đó đã xóa toàn bộ thư mục của chúng tôi.

Công việc của chúng tôi được sao lưu mỗi đêm vì vậy thực sự không phải là vấn đề lớn để khôi phục công việc của chúng tôi. Tuy nhiên, chúng tôi muốn tìm ra ai đã gỡ bỏ nó để chúng tôi có thể đối đầu với họ. Cho đến nay, điều tốt nhất chúng tôi nghĩ ra để tìm ra thủ phạm là kiểm tra lịch sử bash của mọi người nhưng điều này rất dài và tẻ nhạt và nếu có ý định độc hại đằng sau việc xóa thư mục mà thủ phạm của chúng tôi có thể đã sửa đổi dấu vết của họ để che dấu vết của họ (hoặc tất nhiên họ có thể sử dụng một vỏ khác).

Vì vậy, về cơ bản, cách dễ nhất và nhanh nhất để tìm ra ai đã xóa một thư mục?

Cảm ơn trước cho thời gian của bạn.

Tôi đã không tìm thấy một câu trả lời viên đạn ma thuật cho câu hỏi của bạn; một phần lý do đó được nêu chi tiết tại đây: /superuser/178596/checking-user-command-history-in-unix

Lệnh đơn giản này có thể giúp bạn theo dõi những gì đã xảy ra, tìm kiếm các lệnh rm & mv trong tất cả các tệp lịch sử shell trong tất cả các thư mục gốc của người dùng:

find /home -type f -iname .*history -exec grep "rm\|mv" {} \;

Thật tốt khi bạn có một bản sao lưu hợp lệ để cứu bạn, nhưng tôi khuyên bạn nên tạo một số nhóm cho các thư mục dự án và chỉ cần thêm tài khoản người dùng vào các nhóm đó; Điều đó sẽ giúp bạn tiết kiệm rất nhiều nỗi đau trong tương lai.

Ví dụ: thêm một nhóm và thêm các thành viên nhóm dự án vào đó

groupadd coolproject
adduser jim coolproject
adduser joe coolproject
adduser charlie coolproject

thiết lập các quyền theo cách đệ quy đúng cách và đảm bảo quyền truy cập được chuyển tiếp cho nhóm bất kể ai tạo / chỉnh sửa tệp

chown -R yourusername:coolproject /path/to/projectdir
find /path/to/projectdir -type d -exec chmod 2775 {} \;

(2 đặt quyền sở hữu nhóm thành "dính", điều này đảm bảo chủ sở hữu nhóm của bất kỳ dự án nào vẫn là "coolproject")

find /path/to/projectdir -type f -exec chmod 664 {} \;

Hy vọng rằng sẽ giúp bạn ra! B-)

Về lý thuyết có thể tìm ra thời gian xóa, vì vậy điều này có thể thu hẹp người dùng.

Kiểm tra i_dtime thông số kỹ thuật ext2 .