Configuração ideal do Linux ACL para ransomware

Question

CAVEAT: Isso é principalmente um exercício intelectual, já que no caso de meu usuário ser comprometido, há toda uma série de eventos que poderiam tornar esse mecanismo de proteção totalmente inútil. No entanto, acho que é um caso intrigante.

Devido às recentes notícias de ransomware, fiquei curioso sobre o gerenciamento de granularidade de permissões de arquivos no Linux para minhas estações de trabalho. A Microsoft anunciou recentemente que futuras versões do Windows terão um mecanismo de proteção de permissões que impedirá que todos os aplicativos acessem todos os arquivos independentemente das permissões específicas do usuário.

Isso me fez pensar se já é possível implementar esse tipo de mecanismo no Linux usando o ACL.

Digamos que eu tenha uma máquina com um disco rígido externo usado para backups, que é montado todas as noites às 2 da manhã, antes do início do backup. Meu usuário tem permissões de escrita nesse disco, e os arquivos escritos lá pertencem a mim. Portanto, se meu usuário for infectado por um ransomware que será executado após as 2 da manhã, ele poderá ver e criptografar o disco de backup.

Uma solução trivial que eu pensei seria executar o backup com um usuário dedicado (por exemplo, backup), que pode ler meus arquivos. O programa de backup criará backups (ou seja, mantendo minha propriedade original) dentro de um diretório para o qual meu usuário não tenha permissões. O esquema básico de permissão do Unix impedirá que meu usuário acesse qualquer arquivo dentro de um diretório para o qual eu não tenha permissões, embora isso não pareça tão elegante.

Seria possível, por exemplo, definir permissões de ACL específicas que impediriam um usuário de ler arquivos de propriedade dele?

Ou existe uma abordagem totalmente diferente que é ainda melhor do que isso? (sem trapaça com backups ssh / sftp remotos:)