システム全体のファイルにセットユーザーID(SUID）、セットグループID（SGID）が不要にセットされていないかfindコマンドで一斉にチェックする方法についてです。

セットユーザーID(SUID）、セットグループID（SGID）とは？

　
セットユーザーIDが設定されているファイルは、実行するユーザーではなくそのファイルの所有者（セットグループIDの場合はグループ）の権限で実行されます。
　
suやsudoコマンドは、他のユーザーとしてコマンドを実行するので所有者がrootでセットユーザーIDが設定されています。
　

確認方法

　
下記findコマンドでセットユーザーID、セットグループIDが設定されているファイルをピックアップ出来ます。
　
# find PART -xdev \( -perm -4000 -o -perm -2000 \) -type f -print
“PART”の部分には調査対象のパーティションを記述します。
　
※”-xdev”オプション
他のファイルシステム上のディレクトリは検索しない。このオプションを指定しないと、”/”を検索した場合、他のマウントされている他のファイルシステムも検索してしまう。
　

変更方法

　
下記コマンドを実行します。
# chmod -s file
　
●セットユーザーID/セットグループIDが不要かも知れないファイル
　
※参考資料
NSA（National Security Agency）の『Guide to the Secure Configuration of Red Hat Enterprise Linux 5』の2.2.3.4
　
・/sbin/mount.nfs、/sbin/umount.nfs
　NFSを使用していなければ不要
・/sbin/mount.nfs4、/sbin/umount.nfs4
　NFSv4を使用していなければ不要
・/sbin/netreport
　ユーザーがインターフェースを修正しないなら不要
・/usr/bin/chage
　ユーザーがexiry情報を表示しないなら不要
・/usr/bin/chfn
　ユーザーがfinger情報を変更しないなら不要
・/usr/bin/chsh
　ユーザーがシェルを変更しないなら不要
・/usr/bin/crontab
　ユーザーがcronを使用しないなら不要
・/usr/bin/lockfile
　procmailを使用しないなら不要
・/usr/bin/rcp
　rshは非推奨で不要
・/usr/bin/rlogin
　rshは非推奨で不要
・/usr/bin/rsh
　rshは非推奨で不要
・/usr/bin/wall
　コンソールメッセージングを使用しないなら不要
・/usr/bin/write
　コンソールメッセージングを使用しないなら不要
・/usr/bin/Xorg
　X11を使用しないなら不要
・/usr/kerberos/bin/ksu
　Kerberosを使用しないなら不要
・/usr/libexec/openssh/ssh-keysign
　sshdがホストベース認証を使用しないなら不要
・/usr/lib/squid/pam
　squidを使用しないなら不要
・/usr/lib/squid/ncsa
　squidを使用しないなら不要
・/usr/lib/vte/gnome-pty-helper
　X11を使用しないなら不要
・/usr/sbin/ccreds
　PAM auth cachingを使用しないなら不要
・/usr/sbin/suexec
　apacheを使用しないなら不要
・/usr/sbin/userhelper
　
・/usr/sbin/userisdnctl
　ISDNを使用しないなら不要
・/usr/sbin/usernetctl
　ユーザーがインターフェースを変更しないなら不要

関連記事の目次