file accounting

есть такая штука как fam - file alternation monitor. можно юзать ее. А можно и самому не долго думая написать простейший скрипт который вычисляет конрольную сумму файла и сверяет с сохраненным ранее значением соотв запускать этот скрипт кроном для нужных директорий. правда эти способы не скажут вам ничего о том кто изменил файл.

te:ma

припоминаю в lkmpg пример ядерного модуля, который следит за вызовами open

А tripwire или aide уже не в счёт?
Если файлы исполняемые или там вааще критичные,
то sxid. Отконфигурировать только за чем смотреть и где.