Ранбук и первые 10 минут

Не каждое изменение проходит через sudo — тогда его ищут по следам.

Журнал sudo видит только команды людей. Выкладку часто делает служба или таймер от root, и в журнале sudo её нет. Тогда помогают три источника:

• время изменения файлов: ls -lt ставит самый свежий файл каталога первым — смотри каталоги конфигов службы: /etc/default, /etc/nginx/sites-available. Шире — sudo find /etc -newermt '-1 hour' -type f (find); на свежей машине в этот список попадают и файлы, которые система пишет при загрузке, — ключи ssh, machine-id;
• журнал машины за те же минуты — sudo journalctl --since -15min: какие службы запускались и что писали;
• журнал выкладки и история конфигов: если конфиги лежат в git, правку покажет история репозитория (урок о git на сервере).

Метки одного поля журнал складывает: -t sudo -t lab-sitecheck — записи обоих. А -t вместе с -u он понимает как «и то и другое сразу», и такой запрос возвращает -- No entries --.