Có cách nào trong unix để tìm ra ai đã truy cập tệp nhất định trong 1 tuần qua không? Nó có thể là người dùng hoặc một số tập lệnh ftp nó đến một nơi khác. Tôi có thể lấy danh sách tên người dùng đã truy cập tệp nhất định không? Làm thế nào tôi có thể tìm ra ai đang truy cập tập tin cụ thể ??
Câu trả lời:
Trừ khi bạn có chính sách ghi nhật ký cực kỳ bất thường, những người truy cập vào tệp nào không được ghi nhật ký (đó sẽ là một lượng thông tin khổng lồ). Bạn có thể tìm ra ai đã đăng nhập vào thời gian nào trong nhật ký hệ thống; các lastlệnh cho phép bạn đăng nhập lịch sử, và các bản ghi khác như /var/log/auth.logsẽ cho bạn biết cách người dùng xác thực và từ nơi họ đăng nhập (mà thiết bị đầu cuối, hoặc một máy chủ mà nếu từ xa).
Ngày mà một tệp được đọc lần cuối được gọi là thời gian truy cập của nó , hoặc viết tắt là atime . Tất cả các hệ thống tập tin unix có thể lưu trữ nó, nhưng nhiều hệ thống không ghi lại nó, bởi vì nó có một hình phạt hiệu suất (thường là nhỏ). ls -ltu /path/to/filehoặc stat /path/to/filehiển thị thời gian truy cập của tập tin.
Nếu người dùng truy cập tệp và không cố gắng ẩn dấu vết của mình, lịch sử trình bao của anh ta (ví dụ ~/.bash_history) có thể có manh mối.
Để tìm hiểu những gì hoặc ai có một tập tin mở bây giờ, sử dụng lsof /path/to/file.
Để ghi lại những gì xảy ra với một tệp trong tương lai, có một số cách:
Sử dụng inotifywait . inotifywait -e access /path/tosẽ in một dòng /path/to/ ACCESS filekhi ai đó đọc file. Giao diện này sẽ không cho bạn biết ai đã truy cập tệp; bạn có thể gọi lsof /path/to/filengay khi đường dây này xuất hiện, nhưng có một điều kiện cuộc đua (quyền truy cập có thể kết thúc sau thời gian lsof sẽ diễn ra).
LoggedFS là một hệ thống tệp có thể xếp chồng, cung cấp chế độ xem của cây hệ thống tệp và có thể thực hiện ghi nhật ký của tất cả các truy cập thông qua chế độ xem đó. Để cấu hình nó, xem cú pháp tệp cấu hình LoggedFS .
Bạn có thể sử dụng hệ thống con kiểm toán của Linux để ghi nhật ký một số lượng lớn, bao gồm cả truy cập hệ thống tệp. Hãy chắc chắn rằng auditddaemon được bắt đầu, sau đó cấu hình những gì bạn muốn đăng nhập auditctl. Mỗi hoạt động được ghi lại được ghi lại /var/log/audit/audit.log(trên các bản phân phối điển hình). Để bắt đầu xem một tập tin cụ thể:
auditctl -w /path/to/file
Nếu bạn đặt đồng hồ trên một thư mục, các tệp trong đó và các thư mục con của nó sẽ được xem theo cách đệ quy.
syslogd access log file /var/log/audit.log at 10:01\nsyslogd access log file /var/log/audit.log at 10:02\n...
Ví dụ trên với inotifywait phải là một trong (xem trang man để biết thêm thông tin):
inotifywait /path/to/file
inotifywait -e open /pat/to/file
Hoặc với chế độ giám sát và dấu thời gian:
inotifywait -m --format '%w:%e:%T' --timefmt '%F %T %Z %z'
Câu trả lời trước đây không phải là cách thực hành tốt nhất để làm những gì bạn yêu cầu. Linux có API cho việc này. Các inotifyAPI http://linux.die.net/man/7/inotify
inotifyAPI trực tiếpinotify inotifycụ thể là Linux) và bạn đang sử dụng Java, JNotify hoạt động trên các nền tảng (Linux, Mac, Windows), trừu tượng hóa API cơ bản của HĐH gốc.auditd(tuy nhiên, thậm chí điều này không giúp tìm ra ai đã truy cập tệp vào tuần trước trừ khi bạn auditdđã chạy vào tuần trước).