Linux 取证135 条

ACL 权限异常检查

访问控制列表可以给指定用户单独授权，绕过常规权限模型的检查；关键文件出现额外 ACL 条目需要解释来源。

命令	getfacl
关注	敏感目录与密钥文件的附加条目

核查

getfacl -p /etc/shadow /root/.ssh 2>/dev/null | head -30
find /etc -maxdepth 2 -type f -newermt '-30 days' 2>/dev/null | head

ACL 变更属于元数据写入，可用 auditd 监视对应路径捕获操作者。

‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌