超算文件无故被删，是否有排查建议

[hansam47]

超算上有一批文件无故被删除，目前找不到原因，各位是否有排查的建议。

背景信息：

1.没有共享用户，密钥登录，有 web 端的文件管理但我从来不用。

2.超算管理员排查后发现被删除文件的当天没有登录记录，我自己的电脑 screen time 显示那天相关软件没有使用

3.只被删除了部分文件，而且我找不到共性，记录显示是我这个用户 cur_uid 下的 rm

imp_parastor.log_1:L6[25-04-19;13:02:52.192742][xxxx]__lcli_get_unlinkret():2141 [xxxx][CLI]Unlink: comm[rm] cur_uid(xxx) Fsid[18] name[xxxx] rc[x] ino[xxxx] i_nlink[0]

4.超算是有基础的扫描病毒的维护

5.目前暂时没有发现其他用户有类似现象

6.我退出时没有后台执行代码，运行过一个 jupyter notebook 忘记退出，但没有暴露到公网。都是使用 ssh 端口转发的

7.排查 zsh 和 bash 的命令历史没有相关记录

关于备份

因为超算上数据量很大，我有 git 服务备份的代码，但是数据应该是无法找回，这些数据算是次重要的数据，目前接受丢失，可以重新下载

疑惑

是否有建议排查的方向

[dode]

你是超算普通用户，就你自己的文件异常删除丢失了是吧，检查用户密钥文件 authorized_keys ，更换新的密钥，检查.bashrc,.profile ，你自己运行的应用、后台服务等

[hansam47]

是，普通用户，密钥文件在这几天刚好过期已经重置了，我已经手动又重置了
bashrc 和 history 和 zsh 的 history 找不到相关的内容，已经提到了
我自己除了 jupyter 没有运行后台服务，所以现在很奇怪，jupyter 也需要 ssh 转发才能连上

[xinyu391]

超算是什么系统？ linux ？

[hansam47]

@xinyu391 当然 CentOS 7.6 ， 是个集群，有很多登录节点，但是我固定使用一个登录节点

[laminux29]

1.Python 写个每秒轮询，定位文件是否存在。如果不存在，立即记录 netstat -nlap

2.用审计功能 auditd ，对文件的删除进行记录审计。

3.用 inotify-tools 记录删除文件的进程名称。

4.以上全部使用 Python 通过 Webhook 接入到微信或钉钉群机器人。一旦发生，立即通知。

[fanjinzhongju952]

@laminux29 学习了，谢谢大佬分享

[hansam47]

@laminux29 这些需要在删除之前吧，删除之后还能排查原因吗

[laminux29]

@hansam47 你可以找台相同系统版本的虚拟机试试看。

[zizon]

审计信息显示是你的用户名删除的,并且没有登陆记录,那就是其他什么程序 su 成你的用户的方式做的呗.

没有现场只能看审计日志明细到什么程度了.

[hansam47]

@zizon su 的记录应该也有吧。主要我不是 root 用户看不到所有审计日志，管理员那边说是没有人 su 成我

[hansam47]

补充，删除文件的当天，还有这些文件的修改记录，很奇怪。路径到 bak 里是因为重装了 zsh ，毕竟要用
find -newermt "2025-04-19 00:00:00" ! -newermt "2025-04-20 00:00:00"

```
./.oh-my-zsh_bak/plugins
./.oh-my-zsh_bak/plugins/rake-fast
./.oh-my-zsh_bak/.oh-my-zsh/.cpan/.cache/pid
```