Привет, товарищи, как раз случилась  лажа, с файловой помойки удалили  файл который был мне нужен, конечно, копию этого файла я сразу нашел, но нужно было что-то делать  потому что это повторялось регулярно. Я решил посмотреть кто же такой умный, у нас завелся.

Чтобы самба делала лог нужно в секции  [global] вашего конф файла  найти примерно следующее

syslog = 1
log file = /var/log/samba/log.%m
max log size = 1000
syslog only = no

Если у вас нет ничего похожего, нужно добавить  как например у меня.

Далее переходим к расшареной папке, с которой нам нужно получать логи  и вписываем следующее:

fs object = full_audit
full_audit:prefix = %u|%I
full_audit:success = rename mkdir rmdir unlink write connect disconnect opendir writechmod
full_audit:failure = none

Перезапускаем демон самбы и смотрим логи вот тут /var/log/message

Таки нашёл я злоумышленника, который опять удалил файл и всыпал люлей .

 Хэ́ппи-энд