Решил проблему, посредством отслеживания какой процесс изменяет разрешения с помощью audictl. Выяснилось, что задача, забитая в кроне, изменяющая права на папку с пользовательскими файлами, по каким то причинам некорректно исполнялась, рекурсивно заменяя права в /var (до этого было все нормально). Причины этого поведения еще нужно выяснить, но проблема ушла.
