☰

事后能否检测到大量数据盗窃（文件访问）？

tag-icon • tag-icon filesystems logs audit
事后能否检测到大量数据盗窃（文件访问）？

假设一名员工周末来到办公室一整天，不久后就递交了通知。

Linux（在我们的例子中是 Centos 7）上有没有办法消除数据被盗的可能性？感兴趣的活动类型是压缩包含许多文件的相当大的文件夹（超过 1TB） - 这是一个在工作日期间可能会注意到的耗时过程。

假设对 Centos 7 服务器的访问是从使用 NetaTalk（Apple 文件协议的开源 Linux 实现）连接的 iMac 进行的。

由于大多数文件不会被频繁访问 - 事实上，我们预计大多数文件在某个假设的周末访问之前就不会被访问 - 我的想法是，简单的文件访问日志足以背叛此类活动，因为它会显示所有受影响的文件在该日期已访问过的文件。

因此，如果没有提前设置跟踪，是否有办法列出 Linux（我认为是 Ext4）卷上大量文件的访问时间，如果是的话，如何？

答案1

ls的-u选项可用于列出文件及其上次访问时间（而不是默认的上次修改时间）：

ls -lu

由于您正在尝试检查大量文件，因此递归选项可能很有用：

ls -luR

您还可以使用以下命令列出过去两天访问的所有文件find：

find . -atime -2

并且可以组合多个说明符来指定日期范围，例如

find . -atime +10 -atime -13

查找 10 到 13 天前访问过的文件。-daystart如果您以日历日而不是从命令运行之日起的 24 小时周期进行推理，则该选项可能会很有用：

find . -daystart -atime +10 -atime -13

相关内容