Antworten:
Dies ist alles andere als zuverlässig. Wenn es sich jedoch um den Shell-Zugriff handelt, können Sie den Änderungszeitpunkt der Datei mit den zu diesem Zeitpunkt angemeldeten Benutzern ( last) vergleichen und dann deren ~ / .bash_history (oder einen entsprechenden Wert) auf Bearbeitungsbefehle überprüfen. Auch grep -H filename /home/*/.bash_historykönnte man einen Ausgangspunkt geben.
Nein, es gibt keinen verlässlichen Weg, das herauszufinden.
Der statBefehl zeigt Ihnen alles, was über eine Datei bekannt ist (mit Ausnahme des tatsächlichen Inhalts). Sie können die Option -Z hinzufügen, um einige SELinux-Informationen abzurufen. Aber nichts davon sagt Ihnen, wer die Datei zuletzt geändert hat.