Si es la raíz de su sistema, puede usar la función de kernel de auditoría para tener la máxima información sobre quién / cuándo / qué accedió / creó / modificó archivos. vea este tutorial para ejemplos con sabor a debian
Si no tiene acceso de root, puede usar un crontab o un script con un bucle infinito + dormir para ejecutar archivos lsof y grep en su homedir. Consulte la página de manual de lsof . Sin embargo, solo mostrará sus aplicaciones que tengan un descriptor de archivo abierto en el momento en que inicie lsof. Si una aplicación abre un archivo, edítelo y luego ciérrelo, no verá este cambio en lsof.
una frase como esta debería hacer el trabajo: lsof -u $(id -u) 2>/dev/null |grep -P $HOME'/[^\s]*$'
Otra forma es utilizar la API de kernel inotify para verificar cuándo se accede a un archivo. Por desgracia, es un sistema asíncrono, y no tendrá detalles como "qué aplicación", "precisamente cuándo", "qué usuario". Solo tendrá una devolución de llamada sobre "este archivo fue modificado / accedido ...". Algunas aplicaciones (Inotify, FAM, gamin) le brindan acceso simple a la API