救命贴 /etc目录权限被更改为640

没办法啊，现在都被查封了收起

你把文件系统分布,HACMP资源组及HACMP日志发出来
-----相关日志目前还没办法公开，感谢。

我现在发现snap -ec 在主节点上的PAX。Z有问题，备节点能打开。主节点打不开收起

看到什么收起

我查了HACMP的红皮书，里面有以下分析：
The HACMP Configuration Database
(ODM) classes have been updated so that they are owned by the root user
and the hacmp group.
– The permissions of 640 are set for most HACMP object classes. The
HACMPdisksubsystem is an exception with 600.
----------------------------------
Additional cluster security features
The HACMP ODM files are stored in the /etc/es/objrepos directory. In order to
improve security their owner is root and group ID is hacmp. Their permission is  0640, except HACMPdisksubsystem which is 0600. All cluster utilities intended
for public use have hacmp setgid turned on so they can read the HACMP ODM
files.The hacmp group is created during HACMP installation, if it’s not already
there.收起

时间点基本上确定了，但IBM就是说人为的，但又查不出其他情况。
我也怀疑恶意脚本，但如何来查。收起

.sh_history中只有我们早上自己打过的命令，
cd /var
  ls -ltr
  cd hacmp
ls -ltr
  cd clverify
  ls -ltr
  more vlverify.log
  more clverify.log
  ls -ltr
  more clverify.log |grep -i fail
    [ more clverify.log |grep -i error
exit
cd /var/hacmp/
ls -ltr
  cd vlverify
  cd clverify
  l s-ltr
  ls -ltr
  exit
cd var
ls
cd hacmp
ls
cd log
ls
ls -ltr
  snap -r
  snap -ec
df -g
  errpt | pg收起

我自己肯定没做过！！
现在 咨询下的大家，有没有安全公司，能把修改权限的动作查出来！！

大家有没有好的安全公司来推荐。

现在是想查问题啊！！！收起

现在是知道怎么解决，要查找原因。
感谢各位老大收起

哪位老大给点提示，如何排查。
非常感谢收起

我希望能通过手段查出具体修改的时间、IP，否则就被误杀了！！！收起