Qui a renommé un répertoire?

11

Je n'ai pu trouver la réponse à cela nulle part. Comment savoir qui a renommé un répertoire?

ls -al affiche uniquement le nom de l'utilisateur qui a créé ce répertoire.

files rename forensics

— StupidKris
source

17

"ls -al affiche uniquement le nom de l'utilisateur qui a créé ce répertoire." Non. Il affiche le nom de l'utilisateur qui "possède" ce répertoire.

— Roger Lipscombe

1

@RogerLipscombe, qui, à moins que quelqu'un (limité à la rootplupart des systèmes) ne l'ait fait chowndans le répertoire, sera l'uid efficace du processus qui a créé ce répertoire.

— Stéphane Chazelas

6

Bien sûr, ce sont généralement les mêmes, mais ce n'est pas obligatoire .

— Roger Lipscombe

30

Ce ne sont pas des informations qui sont normalement enregistrées, sauf si vous avez pris des dispositions spéciales à cet effet (comme via un système d'audit).

Le service par lequel l'utilisateur a renommé le répertoire (comme sur FTP, SFTP, WebDAV, samba ...) peut avoir des journaux qui peuvent aider. Vous pouvez essayer de vérifier les journaux, la last, lastcomm, audit, l' authentification logs dans le temps le dossier a été renommé.

Si vous êtes administrateur, vous pouvez consulter le fichier d'historique des shells des utilisateurs qui avaient les autorisations pour le renommer (si le répertoire a été renommé de /A/diren /B/newdir, c'est celui qui avait accès en écriture aux deux /Aet /B(en supposant qu'il /An'ait pas le tbit dans ses autorisations et /A/diret /Bsont sur le même système de fichiers)).

— Stéphane Chazelas
source

5

Tu ne peux pas. Comme renommer un répertoire (ou un fichier) modifie une entrée dans un répertoire (le parent), il doit s'agir de quelqu'un avec des autorisations d'écriture dans ce répertoire, mais il n'est enregistré nulle part qui modifie les fichiers / répertoires.

— Henrik soutient la communauté
source

0

Vous pouvez utiliser logsfs .

La description

LoggedFS est un système de fichiers basé sur des fusibles qui peut enregistrer toutes les opérations qui s'y produisent.

Comment ça marche ?

Fuse fait presque tout. LoggedFS envoie uniquement un message à syslog lorsqu'il est appelé par un fusible, puis laisse le système de fichiers réel faire le reste du travail.

Il est disponible en tant que deb dans Ubuntu. Chose très drôle. Cependant, lorsque vous essayez de l'utiliser sur un serveur occupé, il consommera facilement tout votre espace disque.

— sqkgkahaew
source