Auditoria en servidor linux

[Cronck]

Buenos dias, me gustaria leer sus opiniiones sobre el siguiente tema.

Necesito realizar un inventario de uno de los servidores que tengo, pues en días anteriores alguien me ha eliminado un Shell que había creado pero no logro encontrar que usuario fue.

En teoria la unica persona que puede acceder por ssh soy yo, pero hay varios que acceden por ftp, y otros se conecta a las bases de datos.

Si tienen alguna idea de como rastrear esos moviemiento se los agradecere.

Saludos