Respuestas:
Esto está lejos de ser confiable, pero si estamos hablando del acceso a la shell, puede hacer una referencia cruzada del tiempo de modificación del archivo con los usuarios conectados en ese momento ( last) y luego verificar su ~ / .bash_history (o equivalente) para ver los comandos de edición. Incluso grep -H filename /home/*/.bash_historypodría darte un punto de partida.
No, no hay una forma confiable de descubrir eso.
El statcomando muestra todo lo que se sabe sobre un archivo (excepto el contenido real). Puede agregar la opción -Z para obtener información de SELinux; pero nada de eso le dice quién modificó el archivo por última vez.