Debian sarge なホストの /var/auth.log に次のようなメッセージが残っててあせる。
Nov 8 06:25:01 estima su[20150]: + ??? root:nobody Nov 8 06:25:01 estima su[20150]: (pam_unix) session opened for user nobody by (uid=0)
すわアタックか、と思ったら、どうやら cron で動いてるプログラムが吐いたものらしい。
http://www.hk.debian.org/doc/manuals/securing-debian-howto/ch11.ja.html#s11.2.5
