linux查看用户删除记录

1. 使用命令行查看系统日志

在 Linux 系统中，用户对文件的操作都会被记录在系统日志中。可以使用以下命令查看系统日志：

sudo grep "DELETE" /var/log/syslog

该命令将查找包含“DELETE”关键字的所有日志。如果要查找特定用户的删除记录，可以在命令中添加用户名：

sudo grep "DELETE" /var/log/syslog | grep "username"

2. 使用 auditd 工具

auditd 是 Linux 系统中的一个审计工具，可以记录系统和用户的操作，并生成相应的日志。要使用 auditd 工具查看用户删除记录，可以按照以下步骤操作：

1）安装 auditd 工具

sudo apt-get install auditd

2）启动 auditd 服务

sudo service auditd start

3）设置审计规则

可以使用 auditctl 命令设置审计规则。例如，要记录用户删除文件的操作，可以使用以下命令：

sudo auditctl -w /path/to/file -p wa -k delete-file

该命令会监视指定文件的写入和属性更改，并在发现这些操作时生成名为“delete-file”的审计事件。

4）查看审计日志

使用 ausearch 命令查看审计日志。例如，可以使用以下命令查看“delete-file”事件：

sudo ausearch -k delete-file

该命令将列出所有与“delete-file”事件相关的信息，包括用户、时间和文件路径等。