Из cron.daily нужно запускать программу на шелле (примерно как osec),
при этом желательно выполнять программу от псевдопользователя и
сбросить все права, кроме CAP_DAC_READ_SEARCH (которые должны быть как у
рута).  Как это сделать с помощью libcap-utils?

# sucap at at ls         
Caps: =ep cap_setpcap-ep
Caps: =
[debug] uid:500, real uid:500
sucaps: capsetp: Operation not permitted
sucap: child did not exit cleanly.
#