أدوات الأمان مفتوحة المصدر
Lynis: تدقيق واجهة سطر الأوامر لتدقيق Linux لفحص الوضع بأمر واحد
Lynis هو مدقق تكوين المضيف: واجهة سطر الأوامر المحمولة التي تدقق الوضع الأمني لمضيف Unix في عملية واحدة، ومئات عمليات التحقق عبر تقوية kernel، وممارسات المصادقة، والأذونات، والسجلات، والبرامج المثبتة، وتنتهي بفهرس تقوية بالإضافة إلى ملف تقرير. لا يوجد وكيل ولا برنامج خفي: قم بتشغيله بشكل دوري أو قابل للبرمجة، وهو أسرع نظرة أولية صادقة على نظافة التكوين في ملكية Linux.
النقاط الرئيسية
- نموذج الأداة بسيط: يتم تشغيل التدقيق القائم على الصدفة من المصدر (لا يلزم التثبيت) ويقرأ ما هو موجود بالفعل على المضيف، وملفات التكوين، وحالة الحزمة، والأذونات، وتعريفات الخدمة؛ الوكيل الصفري يعني أنه يمكن تشغيله ضد الأساطيل المنسية منذ فترة طويلة عن طريق البرمجة النصية عبر SSH (مع الحذر اللطيف على المضيفين المشغولين).
- النتائج عبارة عن فهرس بالإضافة إلى التفاصيل: يلخص مؤشر التصلب 0-100 الوضع (ويتصرف مثل مؤشر الأداء الرئيسي لكل تشغيل)، ويغذي ملف التقرير (lynis-report.dat) لوحات المعلومات/CI، وتحمل النتائج معالجات مقترحة مرتبطة بشكل صريح بمعرفات الاختبار؛ يتم فحص سير العمل، ومقارنته بالتشغيل الأخير، وتعيين المالكين لكل نتيجة.
- يعد تعيين CIS جزئيًا ومفيدًا: تتوافق العديد من عمليات التحقق مع توصيات معايير CIS، لكن Lynis ليس ماسحًا كاملاً للامتثال لـ CIS (تقدم الشركة التي تقف وراءها وظائف إضافية للمؤسسات)؛ التعامل مع المراجع القياسية كمسرعات، وليس شهادة الامتثال نفسها.
- سير عمل الإصلاح هو القيمة: تأتي نتائج التدقيق مع إصلاحات ملموسة (توجيهات التكوين، وإزالة الحزم، وتغييرات الأذونات)؛ قم بالاقتران بأداة إدارة التكوين (Ansible/Salt، راجع مقالاتنا المخصصة) للتنفيذ نظرًا لأن المعالجة اليدوية تتلاشى خلال ربع سنة.
- تشغيله رخيص، أما تحديد التغييرات فهو ليس كذلك: التدقيق في الإنتاج بحذر (بعض المجسات أثقل من غيرها)، جدولة النوافذ مهمة على المضيفين المشغولين، والدلتا بين المضيفين (نفس الخدمة التي تم تكوينها بشكل مختلف عبر الأسطول) غالبًا ما تكون النتيجة الأكثر إثارة للاهتمام.
- حيث يوجد في مجموعة أدوات الأمان لدينا: Lynis هو مدقق تكوين المضيف (نظافة جهاز واحد)، ويوسع Wazuh SCA نفس الفكرة على مستوى العقارات مع الوكلاء (مقالة مخصصة لدينا)، ويفحص OpenVAS التعرض للشبكة، ويراقب Falco وقت التشغيل؛ يعد تشغيل Lynis الشهري بالإضافة إلى فحوصات Wazuh المستمرة بمثابة اقتران أساسي قوي.
ملاحظة ميدانية
تشغيل Lynis الذي برر نفسه: مضيفا ويب متطابقين، فهرس التعزيز 74 و51، متباعدان بواسطة تغيير sysctl واحد وتكوين SSH واحد قبل عامين. استغرق العثور على الفرق خمس دقائق وكان الإصلاح عبارة عن وحدة إدارة التكوين التي تحمي كليهما الآن. عمليات التدقيق تدفع في الدلتا.
أسئلة شائعة
أدوات قياس الأداء Lynis مقابل OpenSCAP/CIS؟
Lynis هي إجابة CLI المحمولة الأخف وزنًا؛ يحمل OpenSCAP شكليات SCAP المستندة إلى XML ويمكنه إنشاء تقارير امتثال رسمية؛ لإجراء فحص سريع للوضعية الشهرية باستخدام مؤشر تصلب كل مضيف، تفوز Lynis عند الاحتكاك.
كيف تبدو قائمة الإصلاح النموذجية؟
إصلاحات سياسة كلمة المرور وتكوين SSH، وتقليص الخدمة، والأذونات الآمنة على الملفات الحساسة، واكتمال التسجيل، وتعديلات sysctl kernel؛ يحمل كل اكتشاف إصلاحًا ملموسًا ومعرف اختبار مقترحًا، لذلك تتحول قائمة التنظيف مباشرة إلى مهام Ansible.
كم مرة يجب علينا تشغيله؟
شهريًا على خط الأساس للأسطول، بالإضافة إلى تغييرات التكوين الرئيسية أو تأهيل المضيف؛ تتراكم القيمة عبر الاختلافات مقارنة بالتشغيل السابق بدلاً من النتيجة الأولية لأي تشغيل فردي.
هل التشغيل على الإنتاج آمن؟
في الغالب للقراءة فقط حسب التصميم، مع عدد قليل من الاختبارات الأعمق التي يتم الاشتراك فيها؛ قم بتشغيله خلال نافذة هادئة في المرة الأولى، وتعامل مع التحقيقات التي تؤثر على الأداء كاختيارات تكوين بدلاً من الإعدادات الافتراضية في الإنتاج.
كيف تساعدك Kinetikatech في أدوات الأمان مفتوحة المصدر
هذا ما نقوم به كل يوم: يستمر محترفو مجموعة أدوات الاختبار في التحميل: حيث أوضحت الماسحات الضوئية والمتشممون والمفرقعات ووكلاء الويب طريقة استخدامها في الارتباطات الحقيقية - الأوامر والأعلام والمخرجات ومكان كل منها في المنهجية. تغطي خدمة اختبارات الاختراق و أمن خوادم لينكس ذلك من البداية إلى النهاية: التقييم والتنفيذ والمراقبة على مدار الساعة والاستجابة للطوارئ خلال 30 دقيقة.