Информационная безопасность. Макаренко С.И. - 339 стр.

ls -a отобразятся все скрытые файлы. Хакеры научились использовать
скрытые файлы для маскировки своих действий. Злоумышленник может
просто скрыть свои файлы в скрытом каталоге. В других ситуациях хакеры
могут скрывать файлы в каталогах, которые трудно обнаружить
администратору. Например, если назвать каталог <...>, то он может остаться
незамеченным. Добавление пробела после третьей точки (<...>) делает
каталог труднодоступным, если не знать о наличии пробела. Чтобы
отобразить все скрытые файлы и каталоги, имеющиеся в системе, выполните
следующую команду:
     #find / -name '.*' -ls
     Использование -ls вместо -print позволяет вывести более подробный
список расположения файла. Следует периодически выполнять эту команду и
проверять любые новые скрытые файлы.

   22.7.1.3 Файлы, которые могут изменять активного пользователя в
                         процессе выполнения

      Файлы, для которых разрешены полномочия Set UID (SUID) или Set
Group ID (SGID), могут изменять идентификатор своего активного
пользователя или группы в процессе выполнения. Некоторым файлам
требуется такая возможность для выполнения своей работы, однако это
должен быть ограниченный набор файлов, и ни один из них не должен
находиться в домашних каталогах пользователей. Чтобы найти все файлы
SUID и SGID, выполните следующие команды:

     #find     /        -type f -perm -04000 -ls
     #find     /        -type f -perm -02000 -ls

     При построении системы необходимо выполнить данные команды и
сохранить результаты их выполнения. Периодически следует выполнять эти
команды и сопоставлять результаты с исходным списком. Любые
обнаруженные изменения необходимо исследовать

       22.7.1.4 Файлы, доступные для записи всем пользователям

     Файлы, общедоступные для записи, являются еще одной
потенциальной ошибкой в конфигурации системы Unix. Такие файлы
позволяют злоумышленнику создать сценарий, который при выполнении
будет использовать уязвимость. Если файлы SUID и SGID доступны для
записи всем пользователям, у атакующего появляется возможность создать
для самого себя самые обширные привилегии. Чтобы выявить все файлы,
общедоступные для записи, выполните следующую команду:
     #find /   -perm -2 -type f -ls




                                        339