macos - 如何在 Mac 上列出任何用户访问的文件

Question

我想通过列出哪个文件或命令或应用程序在哪个时间由谁打开/执行来监视 Mac 服务器的行为。例如，另一个管理员在上午 10:00 执行了一个 bash 命令“sudo rm -fr /etc”，或者另一个用户打开了一个修改过的文件，或者有人启动了磁盘工具应用程序。

有没有简单的方法可以做到这一点？

Answer 1

fs_usage（以 root 身份运行）将告诉您正在查看的内容、查看者、查看内容和查看时间。如果您可以访问图形桌面，fseventer可能也值得一看。

Answer 2

BSM 审计就是为此而设计的。请参阅audit(8) 手册页、Rich Trouton的这篇博文和Audit Explorer应用程序。

Answer 3

Apple 的“活动监视器”可以解决问题。

从“应用程序 > 实用程序”文件夹中打开它，选择您感兴趣的进程，然后按 Cmd-I“检查进程”。