定期扫描非法授权目录变更需聚焦“谁改了、改了哪、改得对不对”，重点监控/etc、/var/log、.ssh三类高风险路径，通过轻量脚本+定时任务+日志留痕实现闭环审计与最小化修复。
定期扫描非法授权的目录变更，核心是盯住“谁改了、改了哪、改得对不对”三件事。权限审计不是追求全盘覆盖，而是聚焦高风险路径、关键权限位和异常归属关系，用轻量脚本+定时任务+日志留痕形成闭环。
重点监控这几类目录和权限特征
不是所有目录都值得天天扫，优先锁定以下三类：
-
/etc 及其子目录：配置文件集中地，非 root 拥有却可写（如
find /etc -type f ! -user root -perm /2）或目录允许其他用户写入（find /etc -type d -perm /002）必须告警 - /var/log：日志目录若设为 777 或属组不为 syslog/adm，可能被清空或注入伪造日志
-
/root/.ssh、/home/*/\.ssh：.ssh 目录权限必须 ≤700，私钥文件（id_rsa、*.pem）必须 ≤600，且不能被 group 或 other 读取（
find /home -path "*/.ssh/*" -perm /7 -ls）
用 find 快速定位越权目录
命令要加限制、带上下文、避免误报：
- 查全局可写目录：
find / -xdev -type d -perm -o+w 2>/dev/null | grep -E "^/(etc|var|home|tmp)"（-xdev 排除挂载点，grep 缩小范围） - 查非 root 拥有但可写的关键配置目录：
find /etc /var/log -type d ! -user root -perm /002 2>/dev/null - 查敏感目录权限是否过松：
stat /etc /var/log /root/.ssh 2>/dev/null | awk '{print $1,$2,$3,$4}'，人工比对是否符合 755 / 750 / 700 要求
自动化扫描 + 结果留存
把检查逻辑固化为每日任务，确保可追溯：
- 写一个简明脚本（如
/usr/local/bin/audit-dirs.sh），只检查上述三类路径，输出带时间戳的差异项到/var/log/dir-audit.log - 在 root 的 crontab 中添加：
0 3 * * * /usr/local/bin/audit-dirs.sh >> /var/log/dir-audit.log 2>&1（每天凌晨3点执行） - 日志保留至少30天，配合
logrotate配置轮转，避免单文件过大
权限修复要最小化、可验证
发现异常后不直接 chmod -R，而是逐项确认再收紧：
- 目录属主错误？先
chown root:root /path，再设权限（如chmod 755 /etc） - 日志目录需写入？设为
chmod 750 /var/log，属组设为syslog或adm，再确认服务进程能正常写入 - 修复后立即用
stat /path验证，并记录操作时间、执行人、原因（如“修复 /etc/shadow 权限由 644 → 600，防止普通用户读取”）
