Atvirojo kodo saugos įrankiai
Lynis: „Linux“ audito CLI, skirta vienos komandos laikysenos tikrinimui
Lynis yra pagrindinio kompiuterio konfigūracijos auditorius: nešiojamasis CLI, kuris vienu paleidimu tikrina Unix pagrindinio kompiuterio saugos padėtį, šimtus patikrinimų, susijusių su branduolio tvirtinimu, autentifikavimo praktika, leidimais, žurnalais ir įdiegta programine įranga, baigiant sugriežtinimo indeksu ir ataskaitos failu. Nėra agento ir demono: paleiskite jį periodiškai arba pagal scenarijų, ir tai yra greičiausias sąžiningas pirmas žvilgsnis į „Linux“ konfigūracijos higieną.
Pagrindiniai punktai
- Įrankio modelis yra paprastas: apvalkalu pagrįstas auditas vykdomas iš šaltinio (nereikia įdiegti) ir nuskaito, kas iš tikrųjų yra pagrindiniame kompiuteryje, konfigūracijos failus, paketo būseną, leidimus, paslaugų apibrėžimus; „zero agent“ reiškia, kad jis gali veikti prieš seniai pamirštus laivynus, rašydamas scenarijus per SSH (su švelniu atsargumu užimtiems pagrindiniams kompiuteriams).
- Rezultatai yra indeksas ir detalės: 0–100 grūdinimo indeksas apibendrina laikyseną (ir elgiasi kaip per paleidimo KPI), ataskaitos failas (lynis-report.dat) pateikia informacijos suvestines / CI, o išvadose pateikiami siūlomi pataisymai, aiškiai susieti su bandymo ID; darbo eiga nuskaitoma, skiriasi nuo paskutinio paleidimo ir priskiriami savininkai kiekvienam radiniui.
- CIS žemėlapių sudarymas yra dalinis ir naudingas: daugelis patikrinimų atitinka CIS etalonų rekomendacijas, tačiau Lynis nėra visiškas CIS atitikties skaitytuvas (įmonė, siūlanti įmonės priedus); vertinti kaip greitinančius etalono nuorodas, o ne patį atitikties sertifikatą.
- Ištaisymo darbo eiga yra vertinga: audito išvados pateikiamos su konkrečiais pataisymais (konfigūravimo nurodymais, paketų pašalinimu, leidimų pakeitimais); susiekite su konfigūracijos valdymo įrankiu (Ansible/Salt, žr. mūsų skirtus straipsnius), kad užtikrintumėte vykdymą, nes rankinis taisymas sugenda per ketvirtį.
- Paleisti ją pigu, o apsispręsti dėl pakeitimų nėra verta: gamybinis patikrinimas yra atsargus (kai kurie zondai yra sunkesni už kitus), langų planavimas yra svarbus užimtiems pagrindiniams kompiuteriams ir delta tarp prieglobų (ta pati paslauga sukonfigūruota skirtingai visame parke) dažnai yra įdomiausias atradimas.
- Mūsų saugos įrankių rinkinyje jis yra: Lynis yra pagrindinio kompiuterio konfigūracijos auditorius (vieno įrenginio higiena), Wazuh SCA išplečia tą pačią idėją visame pasaulyje su agentais (mūsų skirtas straipsnis), OpenVAS nuskaito į tinklą nukreiptą ekspoziciją, o Falco stebi vykdymo laiką; mėnesinis Lynis bėgimas ir Wazuh nuolatiniai patikrinimai yra tvirtas pradinis poravimas.
Pastaba iš praktikos
Lynis paleidimas, kuris pasiteisino: dvi identiškos žiniatinklio prieglobos, sukietėjimo indeksai 74 ir 51, skiriasi vienu sysctl ir vienu SSH konfigūracijos pakeitimu prieš dvejus metus. Skirtumas užtruko penkias minutes, o pataisymas buvo konfigūracijos valdymo modulis, kuris dabar saugo abu. Auditas moka deltomis.
Dažniausiai užduodami klausimai
Lynis vs OpenSCAP / CIS etalonų įrankiai?
Lynis yra lengvesnis nešiojamasis CLI atsakymas; OpenSCAP turi XML pagrįstą SCAP formalizmą ir gali generuoti oficialias atitikties ataskaitas; už greitą mėnesinį laikysenos patikrinimą su kiekvieno pagrindinio kompiuterio kietėjimo indeksu, Lynis laimi dėl trinties.
Kaip atrodo įprastas ištaisymo sąrašas?
Slaptažodžio politikos ir SSH konfigūracijos pataisymai, paslaugų apkarpymas, saugūs slaptų failų leidimai, registravimo užbaigtumas ir branduolio sysctl pataisymai; kiekvienas radinys turi konkretų siūlomą pataisos ir testo ID, todėl išvalymo sąrašas pavirsta tiesiai į Ansible užduotis.
Kaip dažnai turėtume jį paleisti?
Kas mėnesį pagal parko bazę, taip pat po didelių konfigūracijos pakeitimų arba prieglobos prisijungimo; vertės junginiai per skirtumus, palyginti su ankstesniu paleidimu, o ne iš bet kurio atskiro paleidimo neapdoroto balo.
Ar saugu pradėti gaminti?
Dažniausiai tik skaitoma pagal dizainą, pasirenkama keletas gilesnių testų; pirmą kartą paleiskite jį ramiu langu ir našumą įtakojančius tyrimus laikykite konfigūracijos pasirinkimais, o ne numatytais gamybiniais parametrais.
Kaip Kinetikatech padeda su atvirojo kodo saugos įrankiai
Pasiūlymas paprastas: Testavimo įrankių rinkinio profesionalai iš tikrųjų yra įkrauti: skaitytuvai, snifferiai, krekeriai ir žiniatinklio įgaliotieji serveriai paaiškino, kaip jie naudojami realioms užduotims atlikti – komandos, vėliavėlės, išvestis ir kur kiekviena iš jų yra metodikoje. Patikėkite tai mūsų paslaugai Pratimų testai ir Linux serverių sauga ir turėsite visišką aprėptį: rimtą vertinimą, švarų įgyvendinimą, nepertraukiamą stebėjimą.