Chi ha rinominato una directory?

11

Non sono riuscito a trovare la risposta a questo da nessuna parte. Come posso sapere chi ha rinominato una directory?

ls -al mostra solo il nome dell'utente che ha creato quella directory.

files rename forensics

— StupidKris
fonte

17

"ls -al mostra solo il nome dell'utente che ha creato quella directory." No. Mostra il nome dell'utente che "possiede" quella directory.

— Roger Lipscombe,

1

@RogerLipscombe, che a meno che qualcuno (limitato rootsolo alla maggior parte dei sistemi) abbia fatto un errore chownnella directory, sarà l'uid efficace del processo che ha creato quella directory.

— Stéphane Chazelas,

6

Certo, di solito sono uguali, ma non devono esserlo .

— Roger Lipscombe,

30

Non si tratta di informazioni normalmente registrate, a meno che tu non abbia preso una disposizione speciale in tal senso (come attraverso un sistema di audit).

Il servizio attraverso il quale l'utente ha rinominato la directory (come su FTP, SFTP, WebDAV, samba ...) può avere registri che possono aiutare. Si può provare e verificare quei tronchi, la last, lastcomm, audit, l'autenticazione registra intorno al tempo la cartella è stata rinominata.

Se stai amministratore, è possibile guardare il file storia dei gusci degli utenti che avevano le autorizzazioni per rinominarlo (se la directory è stata rinominata da /A/dira /B/newdir, è chi ha avuto accesso in scrittura ad entrambi /Ae /B(supponendo che /Anon hanno avuto la tbit nelle sue autorizzazioni e /A/dire /Bsono sullo stesso filesystem)).

— Stéphane Chazelas
fonte

5

Non puoi. Poiché la ridenominazione di una directory (o di un file) sta modificando una voce in una directory (principale), deve essere stata una persona con autorizzazioni di scrittura per quella directory, ma non è registrata da nessuna parte che cambia file / directory.

— Henrik supporta la comunità
fonte

0

Puoi usare loggfs .

Descrizione

LoggedFS è un file system basato su fusibili che può registrare tutte le operazioni che avvengono al suo interno.

Come funziona ?

Fuse fa quasi tutto. LoggedFS invia un messaggio a syslog solo quando viene chiamato da fusibile e quindi lascia che il vero filesystem faccia il resto del lavoro.

È disponibile come deb in Ubuntu. Cosa molto divertente. Tuttavia, quando proverai a usarlo su un server occupato, consumerà facilmente tutto lo spazio su disco.

— sqkgkahaew
fonte