Відповіді:
Це далеко не надійно, але якщо ми говоримо про доступ до оболонки, ви можете перехресне посилання на час модифікації файлу з користувачами, які увійшли в цей час ( last), а потім перевірити їх ~ / .bash_history (або еквівалент) для редагування команд. Навіть grep -H filename /home/*/.bash_historyміг би дати тобі вихідну точку.
Ні, немає надійного способу виявити це.
У statкоманді показує вам все , що відомо про фото ( за винятком фактичного змісту). Ви можете додати опцію -Z, щоб отримати деяку інформацію про SELinux; але жодне з цього не говорить про те, хто остаточно змінив файл.