跟踪用户写入目录答案

【问题标题】：Track user writing to a directory跟踪用户写入目录
【发布时间】：2021-04-25 13:23:00
【问题描述】：

有一个（linux）目录如下：

/a/b/c/d

可从多台机器 (NFS) 访问

现在，该目录中所有内容的所有者都是 dir_owner。

但是，可以 sudo 为 dir_owner 的某人/某事将目录 d 的权限更改为 777，然后以其他用户身份写入该位置。这个不同的用户始终是同一个用户，比如 unauthorised_user。

我希望追踪造成这种情况的原因。有人可以帮我解决这个问题吗？如果需要更多信息，请告诉我。

【问题讨论】：

可能是this 之类的东西？投票结束该问题，因为不在 SO 范围内，但我建议您在 superuser 再次提问。
@user1934428 ServerFault 或 Unix & Linux 似乎更合适。我也赞成使用审计。
你可以使用inotify
“不同的用户”总是一样的吗？您可以在该目录上放置一个扩展属性，该属性会删除该用户的写权限并查看谁抱怨... :-)
是的，安德鲁，写作总是同一个用户。（但是那个不同的用户没有更改目录权限的权限——它被其他可以 sudo 作为原始用户的人更改，然后由“不同的”用户写入）。我将在问题中添加此信息。我认为能够跟踪哪些更改权限应该会有所帮助。我没有机会尝试这些解决方案，我会看看它们并返回我发现的内容。

【解决方案1】：

您可以使用stat 命令，用于查看文件或文件系统状态。

stat 的更多信息和参数请访问以下网页。 https://ss64.com/bash/stat.html

另一个命令是auditd，应该可以配置写入审计记录到磁盘，更多信息在以下网页，

【讨论】：