sxid
Comprobación de archivos y directorios con SUID/SGID. Este programa se ejecuta como una tarea programada [/etc/cron.daily/sxid] que queda registrada cuando see instala. Básicamente, realiza un seguimiento de cualquier cambio en los archivos y directorios que tengan activados los bits SUID o SGID. Si aparecen elementos nuevos, si alguno pierde estos bits, o si se modifican sus permisos u otros atributos, el programa informa de dichos cambios. También es posible ejecutarlo manualmente para realizar comprobaciones puntuales. El seguimiento de los archivos con SUID/SGID se lleva a cabo mediante sumas de verificación (checksums) SHA-256 lo que permite detectar si los archivos han sido modificados.
Configuración básica:
$ sudo sed '/^#/d;/^$/d' /etc/sxid.conf
SEARCH = "/"
EXCLUDE = "/cdrom /floppy /media /mnt /proc /sys"
EMAIL = "root"
ALWAYS_NOTIFY = "no"
LOG_FILE = "/var/log/sxid.log"
KEEP_LOGS = "5"
ALWAYS_ROTATE = "no"
FORBIDDEN = "/home /tmp"
ENFORCE = "no"
LISTALL = "no"
IGNORE_DIRS = "/home"
# sxid
# sxid -k /usr/local/bin
# sxid -l
# less /var/log/sxid.log