Как отловить редактирование файла процессом, пользователем на Linux-сервере?
rsyslog.d + inotify, поидее можно написать небольшой демон который будет отлавливать изменения файлов и писать в лог кто это сделал.
Snoopy для начала попробуйте. 
Если не поможет - тогда скрипт для inotify уже.