「chmod 640」が「/etc/passwd」ファイルを変更した理由を追跡する方法は？

AIX 6100-05-02-1034では、/etc/passwdファイル権限が640に変更されることがよくあります。これは悪いです...

chmodingファイルが何であるかをどのように追跡できますか？いいえhistory 1000 | fgrep -i chmod、ファイルを変更するプロセスがあるようですが、どのようなプロセスですか？dtraceこれは可能ですか？ AIXにはありません。