Amazon RHL Server下如何查看特定文件或目录的删除记录？

以下是几种可行的方法，根据你的服务器配置选择：

1. 利用auditd审计日志 #

auditd是RHEL默认的审计服务，能记录系统内的文件操作（包括删除）：

• 先确认auditd是否运行：

  systemctl status auditd
  

• 如果服务正常运行，直接搜索目标文件的删除记录：

  sudo ausearch -f /path/to/deleted_file.txt -k delete
  

• 可添加时间范围缩小查找范围：

  sudo ausearch -f /path/to/deleted_file.txt -k delete --start 'YYYY-MM-DD HH:MM:SS' --end 'YYYY-MM-DD HH:MM:SS'
  

注意：如果之前未配置审计规则，可能无法查到历史记录；若要后续监控，可添加规则：sudo auditctl -w /path/to/target_dir -p wa -k file_delete

2. 通过文件系统日志查询（以ext4为例） #

如果文件系统是ext4，可使用debugfs查看文件系统日志，但操作需谨慎：

• 首先确保目标分区已卸载（或只读挂载，避免损坏数据）：

  sudo umount /dev/sdXn
  

• 运行debugfs提取日志并搜索：

  sudo debugfs -R 'logdump' /dev/sdXn | grep deleted_file.txt
  

风险提示：不要在挂载的文件系统上执行此操作，操作前务必备份重要数据

3. 检查进程执行历史（需提前启用） #

如果服务器安装并启用了psacct工具，可以查看历史执行的命令：

• 先安装工具包：

  sudo yum install psacct
  

• 启动服务（若未启动）：

  systemctl start psacct
  

• 搜索与删除相关的命令：

  sudo lastcomm rm | grep deleted_file.txt
  

注意：若服务未提前启用，无法获取历史记录

为什么bash_history没查到结果？ #

• 用户可能执行了history -c清空历史，或删除操作完成后未退出shell（bash_history默认仅在退出时写入文件）
• 删除操作可能通过脚本、GUI工具、其他命令（如find ... -delete）完成，未被记录到bash_history

内容的提问来源于stack exchange，提问作者Ishan Jogalekar