Отключить возможность пользоваться компилятором

chmod 700 /usr/bin/gcc
chmod 700 /usr/bin/g++
chmod 700 /usr/lib/gcc
chmod 700 /usr/include

>chmod 700 /usr/bin/gcc >chmod 700 /usr/bin/g++ >chmod 700 /usr/lib/gcc >chmod 700 /usr/include

не самый интерестный вариант ибо при первом же апдейте права вернуться на свои места

ну мля, зделай sh-скрипт и запускай его после апгрейда

# cat <<EOT >>/etc/crontab

* 01 * * * root chmod 700 /usr/bin/gcc; chmod 700 /usr/bin/g++; chmod 700 /usr/lib/gcc; chmod 700 /usr/include
EOT

? ;)

Более серьёзный вариант - поставить gcc не в /usr/bin, а в домашний каталог рута (~root/bin).

Всё гениальное просто ;)

>Можно ли запретить всем пользователем, кроме root, пользоваться компилятором? И как?

Не проще ли не держать там компилятор вообще? Если надо что-то скомпилить - поставил компилер, скомпилил софтину, удалил компилятор. И не надо заморачиваться с правами... Или тебе очень часто позарез надо на серваке что-либо компилировать?

Тогда уж лучше компилировать на другой машине, а готовые бинарники кидать на сервер.

>Тогда уж лучше компилировать на другой машине, а готовые бинарники кидать на сервер.

Тоже вариант.

А какая-же опсаность его там держать? Что-то сижу, думаю, не могу придумать.

> А какая-же опсаность его там держать?

Большинство руткитов после пролома машины компилируют свои ядерные модули для собственного сокрытия. Нет компилятора -- руткит не может замаскироваться (если только не таскает с собой уже собранные модули для данной версии ядра).

Интересная логика :-) А не лучше ли тогда строить защиту так, чтоб никто не смог закинуть rootkit ??? Потому как снова логика простая - закинули rootkit, значит могут закинуть и компилятор. А еще, если ломали не ламеры, то я думаю они смогут узнать и версию ядра и все остальное и скомпилить rootkit под это на стороне. Или я в чем-то жестоко ошибаюсь ?

> А не лучше ли тогда строить защиту так, чтоб никто не смог закинуть rootkit ?

Хорошая оборона - глубокая оборона. Защита должна быть многоэшелонной. Потому как если машина в сети светится, то значит её потенциально можно сломать, как ни защищайся. Поэтому - закрыть все ненужные порты, все светящиеся в сети сервисы - в chroot, компилятор (и вообще все ненужные проги) убрать, если есть возможность, то дополнительные security-патчи на ядро (типа неисполняемого стека).