Como criar um alerta que mostre quem alterou a senha(/etc/passwd has been changed on {HOST.NAME})?

Olá amigos!

Gostaria de uma ajuda de vocês para elaborar uma trigger que me mostre quem alterou a senha de um usuário em um servidor.
Atualmente, utilizo essa trigger em servidores de backup e a expressão usada é: {SRV-BKP:vfs.file.cksum[/etc/passwd].diff(0)}>0

Existe alguma forma ou complemento para essa expressão para me trazer quem mudou a senha?