ניטור ההרשאות בקבצי מערכת חיוני וחשוב כדי לשמור על שלמות המכונה.
• כדאי באופן קבוע לבקר את המערכות שלך לכל שימוש בלתי מורשה ומיותר של הרשאות setuid או setgid
תוכניות "Set-user-ID root" תפעלנה כמשתמש root, ללא קשר מי מבצע אותם,
והם סיבה שכיחה של Buffer overflows.

ישנן תוכניות רבות של setuid ו – setgid אשר יכולות לרוץ/לפעול ללא צורך ב root.
את תוכניות אלה ניתן להסיר אם המשתמשים לא צריכים אותם.

• כדאי למצוא את כל תוכניות setuid ו setgid על המארח/מכונה שלך ולהסיר את ההרשאות אחד אחד בעזרת chmod.
root# find / -type f -perm +6000 –ls
59520 30 -rwsr-xr-x 1 root root 30560 Apr 15 1999 /usr/bin/chage
59560 16 -r-sr-sr-x 1 root lp 15816 Jan 6 2000 /usr/bin/lpq


root# chmod -s /usr/bin/chage /usr/bin/lpq
root# ls -l /usr/bin/lpq /usr/bin/chage
-rwxr-xr-x 1 root root 30560 Apr 15 1999 /usr/bin/chage
-r-xr-xr-x 1 root lp 15816 Jan 6 2000 /usr/bin/lpq


קבצי World-write הם קבצים שבקלות מוחלפים או מוסרים. מצא את כל הקבצים הללו על המערכת שלך:
root# find / -perm -2 ! -type l -ls


במהלך הפעולה, כמה קבצים יהיו World-write, כוללים כמה מ /dev ו
הספרייה tmp/ עצמו.
• אתר את כל הקבצים שאין להם בעלים או שיוך לקבוצה. קבצים ללא בעלים גם יכולים להיות בעלי אינדיקציה לפורץ שהשיג גישה למערכת שלך.
root# find / -nouser -o -nogroup


• עם שימוש בפקודות lsattr וchattr -, מנהלי מערכת יכולה לשנות מאפיינים של קבצים וספריות, כולל את היכולת לשלוט במחיקה ושינוי של הפקודה מעלה, מה ש- chmod מספק.

השימוש ב " "append-only ו- "immutable" יכולים להיות יעילים במיוחד במניעת קבצי יומן/לוג מלהימחק, או סוסים טרויאניים שירוצו על גבי קבצים בינאריים מהמנים.
אמנם זה לא ערובה שקובץ מערכת או יומן/לוג לא ישתנה, כאשר יש רק ל root את היכולת
להסיר את ההגנה הזו.

פקודת chattr משמשת להוספה או הסר של מאפיינים אלה, בזמן שב lsattr ניתן להשתמש כדי להציג אותם.
קבצי יומן/לוג יכולים להיות מוגנים על ידי אישור לצרף ( append) אליהם מידע בלבד. ברגע שהנתונים כבר נכתבו, לא ניתן להסיר אותם.
אמנם זה ידרוש שינויים בהגדרות/סבב היומן/לוג שלך, אך זה יכול לספק הגנה נוספת מפני Cracker שמנסה להסיר את עקבותיו.
ברגע שיהיה סבב/שינוי של הלוג/יומן, הוא צריך להשתנות לתמיד ל"בלתי ניתן לשינוי".

קבצים מתאימים לשינויים אלה כוללים:
/bin/login, /bin/rpm
/etc/shadow


ואחרים שלא צריך לשנות לעתים קרובות:
root# chattr +i /bin/login
root# chattr +a /var/log/messages
root# lsattr /bin/login /var/log/messages
----i--- /bin/login
-----a-- /var/log/messages\


• לא צריכה להיות אף פעם סיבה למשתמש להיות מסוגל להפעיל תוכנות setuid מתיקיית הבית שלהם
השתמש באפשרות nosuid ב /etc/fstab למחיצות בהן יש אפשרות לאחרים לשנות דברים שהם לא root.
כמו כן, מומלץ להשתמש ב nodev ו - noexec על מחיצות שלתיקיות הבית של משתמשים, כמו גם ב- /var, האוסר על הרצת תוכניות, ויצירה של יישומים , אשר לא אמור להיות צורך בהם בכל מקרה.

גילוי נאות:
זה לא משהו שלי שעליתי עליו לבד, קראתי את זה פעם וסיכמתי לעצמי, ואני פשוט משתף. אני רק לא זוכר איפה קראת את זה.