是否有用于记录数据传输的应用程序或方法？

9

我的朋友问我一些文件，我让他从系统中取出了。我没有看到他这样做。然后让我怀疑：他从我的系统中获取了哪些额外的文件或数据？

我在想的是这里显示将什么数据复制到哪个USB的任何应用程序或方法（如果可用名称，则显示名称或其他设备ID），以及将什么数据复制到Ubuntu计算机。就像USB和系统数据的历史一样。我认为此功能存在KDE

这在某些方面确实很有用。它提供了实时监视工具，可以监视任何机器上的USB大容量存储设备活动。

software-recommendation usb security

— twister_void
source

检查inotify。它是一个API，不是开箱即用的程序。ibm.com/developerworks/linux/library/l-ubuntu-inotify/…它可以帮助您对搜索工具进行更好的搜索引擎查询。

— jippie 2012年

将什么数据复制到哪个USB-我认为您的意思是将数据表示为所有已安装分区中的任何文件。但是复制允许您以用户身份阅读的系统文件并不危险，因为敏感的系统文件属于root用户。因此，没有sudo密码，您的朋友无法阅读它们。对？此原因适用于从USB写入系统文件。在不知道sudo密码的情况下写信给他们是不可能的。因此，数据表示您的$ HOME内容。那是对的吗？

— zuba 2012年

您还要注意$ HOME中的哪些数据？〜/ Documents ?,〜/ .cofig ?,〜/ .anything_else？

— zuba 2012年

4

看来inotifywatch可以胜任。有关更多信息及其手册页，请参考上面注释中引用的IBM文档。安装：

apt-cache search inotify

inotifywait-等待使用inotify更改文件
inotifywatch-使用inotify收集文件系统访问统计信息

— 吉比
source

4

你可以这样做：

1）检查文件：/var/log/kern.log，/var/log/kern.log.1然后搜索您的朋友连接USB大容量存储器的时间和日期。例如，我的说：

4月9日13:41:37 desguai7内核：[16788.372616]已注册USB Mass Storage支持。
4月9日13:41:38 desguai7内核：[16789.370861] scsi 6：0：0：0：Direct-Access SanDisk Cruzer Blade 1.20 PQ：0 ANSI：5
4月9日13:41:38 desguai7内核：[16789.386614] SD 6：0：0：0：附加的scsi通用sg2类型0
4月9日13:41:38 desguai7内核：[16789.390966] SD 6：0：0：0：[SDB] 15633408 512字节逻辑块：（8.00 GB / 7.45 GiB）
4月9日13:41:38 desguai7内核：[16789.392246] SD 6：0：0：0：[SDB]写保护已关闭
4月9日13:41:38 desguai7内核：[16789.392258] SD 6：0：0：0：[SDB]模式检测：43 00 00 00
4月9日13:41:38 desguai7内核：[16789.392980] SD 6：0：0：0：[SDB]写缓存：已禁用，读缓存：已启用，不支持DPO或FUA
4月9日13:41:38 desguai7内核：[16789.401326] sdb：sdb1
4月9日13:41:38 desguai7内核：[16789.404486] SD 6：0：0：0：[SDB]附加的SCSI可移动磁盘

因此，4月9日下午13:41（下午1:41）在我的计算机上注册了一个USB Mass Storage（已连接）。

2）现在，让我们查看上次访问某些文件的时间，并搜索匹配的日期。打开一个终端并粘贴：

find ~/the/folder/noone/should/have/looked/ -exec stat -c %n%x "{}" \; | grep "2012-04-09 13:41"

将向您显示在连接USB大容量存储器时访问的文件名。

一个小把戏：

您可以使用通配符使用grep，如改变grep "2012-04-09 13:41"为grep "2012-04-09 13:4[1234]"摆脱13:41访问，以13:44的所有文件。

ps .：如果您在朋友之后访问了文件，它将无法正常工作。

— 德瓜
source

从那时起，您可能需要检查每一刻，直到您确定他已完成复制（当kern.log显示USB移除时？），即使他在场5分钟之内，也会有很多find / grep语句。并非没有，但是您需要一个脚本。

— Huckle 2012年

1

他可以简单地更改（...）部分grep "2012-04-09 13:41"，grep "2012-04-09 13:4"以获取从13:40到13:49访问的所有文件。

— desgua 2012年

1

或者，他可以改变grep "2012-04-09 13:41"为grep "2012-04-09 13:4[1234]"摆脱13:41访问，以13:44的所有文件。

— desgua 2012年

@这可能是比较忙的工作，是否有任何简单的方法。

— twister_void 2012年

粘贴gedit /var/log/kern.log到终端上，按Ctrl + F查找“ usb mass”，检查您的朋友连接USB的日期和时间，您差不多完成了。最后，打开终端并粘贴更改日期和时间的命令。给它一个测试;-)

— desgua 2012年

3

相信我，儿子，一个好习惯值得一吨软件（确实更可靠）。请勿将您的会话借给任何人。只需复制您要求的文件即可，感觉不错。

ps对于没有安全感的人，没有足够好的安全软件。

— 祖巴
source

是的，今天早上开车去上班时也在想这个。这就是存在用户帐户，所有权和文件权限（+1）的原因。这里提到的解决方案更多是对问责制问题的解答。

— jippie 2012年

2

在互联网上寻找解决方案（我也想找到一个解决方案）半小时后，我没有找到可以解决问题的软件，但这可能是替代方案：https : //launchpad.net/ubuntu/lucid / amd64 / loggedfs

它监视文件系统的I / O，通过一些“ grep”，您可以显示所需的数据？

— 巴海卡
source

您信任文件以安全保存到文件系统。绝对确定要开始使用自2008-09-03（sourceforge.net/projects/loggedfs/files/loggedfs）之后没有任何更新的文件系统。没有定期备份，我不会信任我的文件。

— jippie 2012年

0

wireshark能够监视通过USB传输的所有数据。尽管此应用程序主要用于监视网络传输，但它也允许您捕获USB软件包。请注意，通过这种方式，您将不仅获得文件列表，而且还获得了计算机与驱动器之间完整对话的逐字节表示。但是，通过这种方式，您可以完全确保没有任何东西被隐藏！

— 拉斐尔·西耶拉克（RafałCieślak）
source