Εργαλεία ασφαλείας ανοιχτού κώδικα
Lynis: Το Linux Auditing CLI για ελέγχους στάσης με μία εντολή
Το Lynis είναι ο ελεγκτής διαμόρφωσης κεντρικού υπολογιστή: ένα φορητό CLI που ελέγχει τη στάση ασφαλείας ενός κεντρικού υπολογιστή Unix σε μία εκτέλεση, εκατοντάδες ελέγχους σε σκλήρυνση πυρήνα, πρακτικές ελέγχου ταυτότητας, δικαιώματα, αρχεία καταγραφής και εγκατεστημένο λογισμικό, που τελειώνει με ένα ευρετήριο σκλήρυνσης συν ένα αρχείο αναφοράς. Δεν υπάρχει πράκτορας και κανένας δαίμονας: εκτελέστε το περιοδικά ή με δυνατότητα σεναρίου και είναι η πιο γρήγορη ειλικρινής πρώτη ματιά στην υγιεινή διαμόρφωσης ενός κτήματος Linux.
Βασικά σημεία
- Το μοντέλο εργαλείου είναι απλό: ένας έλεγχος που βασίζεται σε κέλυφος εκτελείται από την πηγή (δεν απαιτείται εγκατάσταση) και διαβάζει τι υπάρχει στην πραγματικότητα στον κεντρικό υπολογιστή, αρχεία διαμόρφωσης, κατάσταση πακέτου, δικαιώματα, ορισμούς υπηρεσιών. Μηδενικός πράκτορας σημαίνει ότι μπορεί να τρέξει ενάντια σε στόλους που έχουν ξεχαστεί από καιρό κάνοντας δέσμες ενεργειών μέσω SSH (με ήπια προσοχή σε πολυάσχολους κεντρικούς υπολογιστές).
- Τα αποτελέσματα είναι ευρετήριο συν λεπτομέρεια: ένας δείκτης σκλήρυνσης 0-100 συνοψίζει τη στάση του σώματος (και συμπεριφέρεται σαν KPI ανά εκτέλεση), το αρχείο αναφοράς (lynis-report.dat) τροφοδοτεί πίνακες εργαλείων/CI και τα ευρήματα περιέχουν προτεινόμενες διορθώσεις που συνδέονται ρητά με τα αναγνωριστικά δοκιμής. η ροή εργασίας σαρώνει, διαφέρει σε σχέση με την τελευταία εκτέλεση και εκχωρεί κατόχους ανά εύρημα.
- Η αντιστοίχιση CIS είναι μερική και χρήσιμη: πολλοί έλεγχοι ευθυγραμμίζονται με τις συστάσεις αναφοράς CIS, αλλά το Lynis δεν είναι ένας πλήρης σαρωτής συμμόρφωσης με το CIS (η εταιρεία που βρίσκεται πίσω από αυτό προσφέρει εταιρικά πρόσθετα). Αντιμετωπίστε τις αναφορές σημείων αναφοράς ως επιταχυντές, όχι το ίδιο το πιστοποιητικό συμμόρφωσης.
- Η ροή εργασιών αποκατάστασης είναι η αξία: τα ευρήματα του ελέγχου συνοδεύονται από συγκεκριμένες διορθώσεις (οδηγίες διαμόρφωσης, αφαίρεση πακέτων, αλλαγές αδειών). Συνδυάστε με ένα εργαλείο διαχείρισης παραμέτρων (Ansible/Salt, δείτε τα ειδικά άρθρα μας) για επιβολή, καθώς η χειροκίνητη αποκατάσταση εξασθενεί μέσα σε ένα τέταρτο.
- Η εκτέλεση είναι φθηνή, η λήψη απόφασης για αλλαγές δεν είναι: ο έλεγχος στην παραγωγή είναι προσεκτικός (ορισμένοι ανιχνευτές είναι βαρύτεροι από άλλους), ο προγραμματισμός των παραθύρων έχει σημασία σε απασχολημένους κεντρικούς υπολογιστές και το δέλτα μεταξύ κεντρικών υπολογιστών (η ίδια υπηρεσία διαμορφωμένη διαφορετικά σε όλο τον στόλο) είναι συχνά το πιο ενδιαφέρον εύρημα.
- Όπου βρίσκεται στο σετ εργαλείων ασφαλείας μας: ο Lynis είναι ο ελεγκτής διαμόρφωσης κεντρικού υπολογιστή (υγιεινή ενός μηχανήματος), η Wazuh SCA επεκτείνει την ίδια ιδέα σε όλη την έκταση με πράκτορες (το αφιερωμένο μας άρθρο), το OpenVAS σαρώνει την έκθεση που αντιμετωπίζει το δίκτυο και η Falco παρακολουθεί το χρόνο εκτέλεσης. η μηνιαία εκτέλεση Lynis συν συνεχείς έλεγχοι Wazuh είναι μια σταθερή βασική σύζευξη.
Σημείωση από το πεδίο
Η εκτέλεση του Lynis που δικαιολογήθηκε: δύο πανομοιότυποι κεντρικοί υπολογιστές ιστού, δείκτης σκλήρυνσης 74 και 51, που αποκλίνουν κατά μία αλλαγή διαμόρφωσης sysctl και μία αλλαγή διαμόρφωσης SSH δύο χρόνια πριν. Η διαφορά χρειάστηκε πέντε λεπτά για να βρεθεί και η επιδιόρθωση ήταν μια μονάδα διαχείρισης ρυθμίσεων που τώρα προστατεύει και τα δύο. Οι έλεγχοι πληρώνουν σε δέλτα.
Συχνές ερωτήσεις
Εργαλεία συγκριτικής αξιολόγησης Lynis vs OpenSCAP/CIS;
Το Lynis είναι η πιο ελαφριά φορητή απάντηση CLI. Το OpenSCAP φέρει τον φορμαλισμό SCAP που βασίζεται σε XML και μπορεί να δημιουργήσει επίσημες αναφορές συμμόρφωσης. για έναν γρήγορο μηνιαίο έλεγχο στάσης με δείκτη σκλήρυνσης σε κάθε οικοδεσπότη, ο Lynis κερδίζει στην τριβή.
Πώς μοιάζει μια τυπική λίστα αποκατάστασης;
Διορθώσεις πολιτικής κωδικού πρόσβασης και διαμόρφωσης SSH, κλάδεμα υπηρεσιών, ασφαλή δικαιώματα σε ευαίσθητα αρχεία, πληρότητα καταγραφής και προσαρμογές στον πυρήνα sysctl. κάθε εύρημα φέρει ένα συγκεκριμένο προτεινόμενο αναγνωριστικό επιδιόρθωσης και δοκιμής, επομένως η λίστα καθαρισμού μετατρέπεται απευθείας σε εργασίες Ansible.
Πόσο συχνά πρέπει να το τρέχουμε;
Μηνιαία σε μια γραμμή βάσης στόλου, καθώς και μετά από σημαντικές αλλαγές διαμόρφωσης ή ενσωμάτωση κεντρικού υπολογιστή. Η τιμή συνδυάζεται μέσω διαφέρει σε σχέση με την προηγούμενη εκτέλεση και όχι από την ακατέργαστη βαθμολογία οποιασδήποτε μεμονωμένης εκτέλεσης.
Είναι ασφαλές να λειτουργεί στην παραγωγή;
Κυρίως μόνο για ανάγνωση βάσει σχεδιασμού, με μια χούφτα βαθύτερες δοκιμές συμμετοχής. εκτελέστε το σε ένα ήρεμο παράθυρο την πρώτη φορά και αντιμετωπίστε τους ανιχνευτές που επηρεάζουν την απόδοση ως επιλογές διαμόρφωσης και όχι ως προεπιλογές στην παραγωγή.
Πώς βοηθάει η Kinetikatech στα εργαλεία ασφαλείας ανοιχτού κώδικα
Για να είμαστε ειλικρινείς, οι περισσότερες ομάδες έρχονται σε εμάς αφού δοκιμάσουν μόνες τους: Οι επαγγελματίες της εργαλειοθήκης δοκιμών παραμένουν πραγματικά φορτωμένοι: σαρωτές, sniffers, crackers και web proxies εξήγησαν τον τρόπο με τον οποίο χρησιμοποιούνται σε πραγματικές δεσμεύσεις - εντολές, σημαίες, εξόδους και πού βρίσκεται το καθένα σε μια μεθοδολογία. Η υπηρεσία μας Δοκιμές διείσδυσης and Ασφάλεια διακομιστών Linux υπάρχει για να μην ανακαλύψετε εργαλεία ασφαλείας ανοιχτού κώδικα με τον σκληρό τρόπο· την εγκατάσταση, την παρακολούθηση και τις εκπλήξεις τις αναλαμβάνουμε εμείς.