linux系统下确认谁删除了文件怎么查看？

Question

linux系统下查看谁删除了文件？

Answer 1

在Linux系统中，您可以使用以下方法来确定谁删除了文件：
查看系统日志：Linux系统会记录用户对文件和目录的操作，您可以查看系统日志以确定哪个用户删除了文件。使用以下命令查看系统日志文件：

sudo tail -f /var/log/syslog

如果您知道删除文件的时间段，请根据需要筛选日志。您可以使用Ctrl + C退出日志查看。
使用auditd：Auditd是一个系统审核守护进程，可以记录Linux系统上的操作和事件。如果您已经在系统上启用了Auditd，可以使用以下命令查找删除文件的记录：

sudo auditctl -w /path/to/file -p w -k delete_file
sudo ausearch -k delete_file -i

这将在Audit日志中创建一个名为“delete_file”的键，并记录删除文件的操作。使用第二个命令搜索键“delete_file”以查找相关事件。
使用inotify：inotify是一个Linux内核的文件系统事件通知机制，可以用于监视文件和目录的变化。您可以使用以下命令监视目录并记录所有删除事件：

sudo inotifywait -m -r /path/to/directory -e delete > delete.log

这将记录所有从指定目录中删除的文件和目录的事件，并将它们写入名为“delete.log”的日志文件中。请注意，此方法只能记录自您运行此命令以来发生的事件。
请注意，这些方法都需要在发生文件删除之前启用。如果您没有启用任何方法，则无法确定谁删除了文件。