Проверка, использовал ли конкретный пользователь chown в определенных каталогах?

Question

Недавно я предоставил одному пользователю права доступа sudo на тестовом сервере. Сегодня утром я вижу, что сервер облажался. Я вижу, что права владельца были изменены во многих каталогах. Например, владение многими корневыми каталогами было изменено на моего пользователя. Я предполагаю, что пользователь использовал chown не в том месте.

Можно ли посмотреть, использовался ли chown конкретным пользователем в определенном каталоге?

Answer 1

Обычно sudo записывает выполненные команды, например, в /var/log/auth.log или /var/log/sudo.log, в зависимости от вашего дистрибутива, поэтому проверьте строки sudo:.