ps_ Не впевнений чи це справді допоможе, але здається, є ідея як це зробити - я певний час юзав такий Debian-based дістр, як - KickSecure
Так от у них скриптами реалізована така штука, що після оновлення ‘apt upgrade’ зупускається скрипт, який пробігає по оновлених файлах\директоріях і підправляє права. Таким чином, я думаю, можна щось “підкрутити” для ваших потреб.
Я сильно не вникав, але можна подивитися, їхній репозиторій і там думаю багато цікавих ідей і скриптів по секюрності можна знайти.