オープンソースのセキュリティ ツール
Lynis: ワンコマンドでポスチャチェックを実行する Linux 監査 CLI
Lynis はホスト構成監査者です。Unix ホストのセキュリティ体制を 1 回の実行で監査するポータブル CLI で、カーネル強化、認証慣行、権限、ログ、インストールされたソフトウェアにわたる何百ものチェックが行われ、強化インデックスとレポート ファイルで終わります。エージェントやデーモンはありません。定期的に実行するか、スクリプトで実行するだけで、Linux 資産の構成衛生状態を最も早く正直に確認できます。
要点
- ツール モデルはシンプルです。シェルベースの監査がソースから実行され (インストールは必要ありません)、ホスト上に実際にあるもの、構成ファイル、パッケージの状態、権限、サービス定義を読み取ります。エージェントがゼロということは、SSH 経由でスクリプトを実行することで、長い間忘れられていたフリートに対して実行できることを意味します (ビジーなホストでは慎重に注意してください)。
- 結果はインデックスと詳細です。0 ～ 100 の強化インデックスは姿勢を要約し (実行ごとの KPI のように動作します)、レポート ファイル (lynis-report.dat) はダッシュボード/CI にフィードし、調査結果にはテスト ID に明示的に関連付けられた推奨修復策が含まれます。ワークフローはスキャン、前回の実行との差分、結果ごとの所有者の割り当てです。
- CIS マッピングは部分的で便利です。多くのチェックは CIS ベンチマークの推奨事項と一致していますが、Lynis は完全な CIS コンプライアンス スキャナーではありません (背後の企業はエンタープライズ アドオンを提供しています)。コンプライアンス証明書自体ではなく、ベンチマーク参照をアクセラレータとして扱います。
- 修復ワークフローが価値です。監査結果には具体的な修正 (構成ディレクティブ、パッケージの削除、権限の変更) が含まれます。手動による修復は 1 四半期以内に効果がなくなるため、強制するには構成管理ツール (Ansible/Salt、専用記事を参照) と組み合わせてください。
- 実行は低コストですが、変更を決定するのはそうではありません。本番環境での監査は注意が必要 (一部のプローブは他のプローブよりも重い)、ビジーなホストではスケジュール ウィンドウが重要で、ホスト間のデルタ (同じサービスがフリート全体で異なるように構成されている) が最も興味深い結果となることがよくあります。
- 当社のセキュリティ ツール セットのどこに位置するか: Lynis はホスト構成監査 (1 台のマシンの衛生管理)、Wazuh SCA はエージェントを使用して同じアイデアを資産全体に拡張 (当社の専用記事)、OpenVAS はネットワークに面したエクスポージャをスキャンし、Falco はランタイムを監視します。毎月の Lynis の実行と Wazuh の継続的なチェックは、堅実なベースラインの組み合わせです。
現場ノート
Lynis の実行はそれ自体を正当化しました。強化インデックス 74 と 51 の 2 つの同一の Web ホストが、2 年前の 1 つの sysctl と 1 つの SSH 設定変更によって分岐しました。差分を見つけるのに 5 分かかりましたが、修正は構成管理モジュールによって行われ、現在は両方を保護しています。監査はデルタで支払います。
よくある質問
Lynis と OpenSCAP/CIS ベンチマーク ツールの比較?
Lynis は、軽量でポータブルな CLI の答えです。 OpenSCAP は XML ベースの SCAP 形式を採用しており、正式なコンプライアンス レポートを生成できます。すべてのホストの強化インデックスを使用した簡単な月次姿勢チェックでは、Lynis が摩擦に優れています。
一般的な修復リストはどのようなものですか?
パスワード ポリシーと SSH 構成の修正、サービスのプルーニング、機密ファイルに対する安全なアクセス許可、ロギングの完全性、カーネル sysctl の調整。それぞれの結果には具体的な修正案とテスト ID が含まれているため、クリーンアップ リストは直接 Ansible タスクに変わります。
どのくらいの頻度で実行すればよいでしょうか?
フリートのベースラインでは毎月、さらに主要な構成変更またはホストのオンボーディング後は毎月。この値は、単一の実行の生のスコアからではなく、前の実行との差分を介して増加します。
本番環境で実行しても安全ですか?
設計によりほとんどが読み取り専用ですが、いくつかのより詳細なテストがオプトインされています。初回は穏やかな時間帯に実行し、パフォーマンスに影響を与えるプローブを本番環境のデフォルトではなく構成の選択肢として扱います。
オープンソースのセキュリティ ツール に対するKinetikatechの支援
これは何百回と対応してきたケースです：テスト ツールボックスの専門家は、スキャナー、スニッファー、クラッカー、Web プロキシなど、実際の業務での使用方法、つまりコマンド、フラグ、出力、およびそれぞれが方法論のどこに位置するのかについて説明しました。 ペネトレーションテストとLinuxサーバーセキュリティで、評価、実装、24時間体制の監視、そして重要な時に30分以内の対応という、完全なサイクルを提供します。