Как уже упоминалось, аудиторская служба может работать на вас, а может и не работать. Я бы попробовал просто взять файлы и сделать их нечитаемыми (0200 )и записать метку времени «Изменить» из stat
. Затем проверьте ту же метку времени позже и сравните ее со своими записями. Если администратору пришлось изменить права доступа к файлу, временные метки не совпадут.
Вероятно, для этого есть обходные пути, но вы, вероятно, никогда не найдете способ помешать root делать то, что он хочет. На мой взгляд, ваш единственный вариант — найти пробел в знаниях администратора и использовать его.