SUID fileを監査する｜LPIC-1 102-500 試験オリジナル練習問題

110.1標準

/usr配下の通常fileから、owner execute位置にSUID bitが設定されたものを一覧する。

permission denied messageは表示しない。

適切なコマンドはどれか。

ヒント1: ヒント

file type、SUID mask、完全一致とbit包含、error streamを分けて読む。

ヒント2: 用語の確認

監査対象、表示と変更、permission bit、limit、login記録、sudo policyを比較する。

-type f: 通常fileだけを対象にする。
-perm -4000: SUID bitを含むmodeに一致する。
-perm 4000: mode全体が4000に完全一致する。
2>/dev/null: 標準errorだけを破棄する。
find /usr -type f -perm -4000 2>/dev/null: 通常fileかつSUID bitを含むpathを検索し、標準errorを捨てる。

詳細解説

正しいfind /usr -type f -perm -4000 2>/dev/null

通常fileかつSUID bitを含むpathを検索し、標準errorを捨てる。

正しい。通常fileへ限定し、SUIDの4000 bitが含まれるfileを検索してpermission errorだけを抑える。

誤りfind /usr -type d -perm -4000 2>/dev/null

directoryだけを対象にする。

誤り。-type dはdirectoryへ限定するため、監査対象のSUID executable fileを漏らす。

誤りfind /usr -type f -perm -2000 2>/dev/null

SGID bitを含むfileを検索する。

誤り。2000はSGID bitであり、owner権限で実行するSUIDの監査ではない。

誤りfind /usr -type f -perm 4000 2>/dev/null

mode全体が厳密に4000のfileだけを対象にし、通常のexecute/read bit付きSUID fileを漏らす。

誤り。完全一致4000では4755等の通常的なSUID executableが一致せず、監査結果を漏らす。

一時的な検証環境で実行できる例です。

printf '%s
' '-type f=regular files' '-perm -4000=SUID bit present' '2>/dev/null=discard diagnostics'

-type f=regular files
-perm -4000=SUID bit present
2>/dev/null=discard diagnostics

基礎のおさらい

SUID executableは実行時effective UIDをfile ownerへ変えられるため、不要なものや改変を重点監査する。

単発一覧だけでなくpackage verificationやbaselineとの差分で新規・変更fileを追跡する。

問題IDKP-110-845

確認環境GNU findutilsの構文対応表（filesystem走査なし）

最終技術確認2026-08-13