0038-sudoers-priv-sudoers ファイルの権限変更¶

ルールID¶

• 0038-sudoers-priv

カテゴリ¶

• system

レベル¶

• critical

互換バージョン¶

• Linux

説明¶

• ホストファイル /etc/sudoers の権限が変更されたかどうかを監視します

スキャン頻度¶

• 0 */30 * * *

理論的根拠¶

• ホストファイル /etc/sudoers は、特定のユーザーが root ユーザーのパスワードを必要とせずに、root ユーザーと同様にさまざまなコマンドを使用できるようにします。

リスク項目¶

• 機能が利用不可

監査方法¶

• 以下のコマンドを実行し、Uid と Gid がともに 0/root であり、Access がグループやその他の権限を付与していないことを確認します：

stat /etc/sudoers
Access: (0440/-r--r-----) Uid: ( 0/root) Gid: ( 0/root)

復旧手順¶

• /etc/sudoers ファイルの権限が変更されたことが検出された場合は、root ユーザーでサーバーにログインして権限を修復し、この変更を監査してください。

影響¶

• 機能が利用不可

デフォルト値¶

• なし

参考情報¶

• ハッカー侵入時の緊急調査の考え方と流れ（非公式）

• 実際のマイニング侵入調査分析の記録（非公式）

CIS コントロール¶

• なし