Kann man rekonstruieren, wann eine bestimmte Datei geöffnet wurde?

[Martin Luther (Gast)]

Hallo,

wird irgendwo geloggt, wie häufig und/ oder wann eine bestimmte Datei 
(z.B. ein Bild, ein Musikstück, etc.) unter Windows/ Linux geöffnet 
wurde?

[Jonathan S. (joni-st)]

NTFS sollte den Zeitpunkt des letzten Zugriffes auf eine Datei 
aufzeichnen. Bei Linux musst du jemand anderen fragen, aber ich bin mir 
recht sicher, dass dessen Dateisysteme auch Journaling haben.


Gruß
Jonathan

[Tobias (Gast)]

Bei einer so unkonkreten Fragestellung kann man nur sagen:
Es kommt darauf an.
Zu aller erst sollte man Unterscheiden wer loggt:
a) das Filesystem
b) die Applikationen

Letzteres ist natürlich ein wenig unübersichtlich. Mit Windows kenne ich 
mich jetzt nicht so aus, aber unter Linux kannst du Dateisysteme so 
einbinden, dass immer das Dateum des letzten Lesezugriffs gesichert 
wird. Dies sagt aber nichts darüber aus:
a) Wer den Zugriff getätigt hat
b) Wie oft ein Zugriff auftrat

[roland (Gast)]

Unter Linux kann man mit inotify überwachen.

[Johannes O. (jojo_2)]

Bei Linux muss man aber auch aufpassen, ob die Partition mit "noatime" 
gemountet wurde, dann wird das nämlich nicht gespeichert.

Was hast du denn vor? Erzähl mal ein bisschen mehr sonst wird das nur 
herumgestochere.

[(prx) A. K. (prx)]

In Windows kann jeder Zugriff auf Files/Directories protokolliert 
werden: http://support.microsoft.com/kb/310399

Auch in Linux dürfte so etwas möglich sein. Das relevante Stichwort ist 
in beiden Fällen "auditing".

[(prx) A. K. (prx)]

Jonathan Strobl schrieb:
> NTFS sollte den Zeitpunkt des letzten Zugriffes auf eine Datei
> aufzeichnen. Bei Linux musst du jemand anderen fragen, aber ich bin mir
> recht sicher, dass dessen Dateisysteme auch Journaling haben.

Mit Journaling-Filesystems hat das nichts zu tun.

[Andreas B. (andreas_b77)]

Unter Linux (wie unter Unixen) gibt es für jede Datei drei gespeicherte 
Zeiten, ctime (change time), mtime (modification time) und atime (access 
time). Wobei ctime bei Änderungen der Metadaten (Besitzer, 
Zugriffsrechte...) aktualisiert wird, mtime bei Änderungen des Inhalts.

Seit Linux 2.6.30 ist für alle Dateisysteme die Option relatime der 
Default. Da wird die atime bei Zugriff nur aktualisiert wenn die 
bisherige atime älter als ctime oder mtime ist. Mit der mount-Option 
strictatime bekommt man das traditionelle Verhalten, bei der die atime 
bei jedem Zugriff aktualisiert wird.


Das ist aber eben nur die letzte Zugriffszeit, wenn jeder Zugriff 
geloggt werden soll, muss da halt ein ständig laufendes Programm mit 
inotify lauschen und loggen.