Ya hay una variedad de herramientas a su disposición, que su pregunta (y estas respuestas) sugieren como historial, snoopy, auditado, sudo logs, etc ... pero si tiene un "Subconjunto de cuentas" que la gente está usando, hay de ninguna manera en el servidor para saber quién hizo qué. La única forma en que puede saber específicamente quién lo hizo es si los usuarios tienen sus propias computadoras que usan específicamente y usan keyloggers para saber qué estaban escribiendo físicamente en ese teclado.
Cada vez que comparte cuentas, no puede saber qué estaba sucediendo realmente, ya que necesitaría más pruebas de quién estaba usando su cuenta raíz o cuenta bob o lo que sea que su gente estaba haciendo. Si está tratando de investigar qué sucedió en un incidente específico, es posible que deba revisar sus políticas y procedimientos de acceso, sus procedimientos de recuperación y evaluar a sus empleados y / o participar en una nueva capacitación si es necesario (o su confiabilidad con cuentas confidenciales) que enfocarse directamente en buscar quién hizo algo, ya que puede absorber más recursos de los que puede ganar para encontrar a la persona que lo hizo.
De lo contrario, es posible que desee buscar técnicas de investigación forense para rastrear lo que sucedió (imágenes de disco, rastreo de registros, etc.) Si no está investigando un incidente, revise sus políticas e instituya un mejor seguimiento y verificación de cuenta (solo usted tiene root, solo Bob usa su cuenta usando sudo para obtener acceso a privilegios más altos, instalar y monitorear auditados, etc.) y tenga cuidado de no hacer que su círculo de confianza se sienta como si estuviera bajo un microscopio o podría alienar a las personas que intentan para hacer su trabajo (o impedir que hagan su trabajo).