sudoersの%sudo ALL=(ALL) ALL,!/bin/su意味ないからやめた

sudoでsuできないようにしたほうがいい。そう思っていた頃が僕にもありました。

root権限でsudoできる時点であらゆる方法でrootになれるようなので

%sudo ALL=(ALL) ALL

に変えた。

sudoでrootになろうとしてる輩は/var/log/auth.logみたらわかるので
そういう輩は組織に伝染らないうちにひねり潰すのみです。

参考

• sudo - odz buffer