Nástroje zabezpečenia s otvoreným zdrojom
Lynis: Linux Auditing CLI pre kontrolu polohy jedným príkazom
Lynis je audítor konfigurácie hostiteľa: prenosné CLI, ktoré kontroluje bezpečnostnú pozíciu hostiteľa Unixu v jednom spustení, stovky kontrol naprieč spevnením jadra, overovacími postupmi, povoleniami, protokolmi a nainštalovaným softvérom, končiac indexom spevnenia plus súborom správy. Neexistuje žiadny agent ani démon: spúšťajte ho pravidelne alebo skriptovateľne a je to najrýchlejší, čestný prvý pohľad na hygienu konfigurácie linuxového panstva.
Kľúčové body
- Model nástroja je jednoduchý: audit na báze shellu beží zo zdroja (nie je potrebná žiadna inštalácia) a číta, čo je skutočne na hostiteľovi, konfiguračné súbory, stav balíka, oprávnenia, definície služieb; nulový agent znamená, že môže bežať proti dávno zabudnutým flotilám skriptovaním cez SSH (s miernou opatrnosťou na zaneprázdnených hostiteľoch).
- Výsledky sú index plus podrobnosti: index tvrdnutia 0-100 sumarizuje držanie tela (a správa sa ako KPI za spustenie), súbor správy (lynis-report.dat) obsahuje dashboardy/CI a zistenia obsahujú navrhované nápravy explicitne spojené s testovacími ID; pracovný postup je skenovanie, porovnanie s posledným spustením a priradenie vlastníkov podľa nálezu.
- Mapovanie CIS je čiastočné a užitočné: mnohé kontroly sú v súlade s odporúčaniami benchmarku CIS, ale Lynis nie je úplným skenerom zhody CIS (spoločnosť, ktorá stojí za podnikmi, ponúka podnikové doplnky); zaobchádzať s referenčnými hodnotami ako s urýchľovačmi, nie so samotným certifikátom zhody.
- Hodnotou je pracovný postup nápravy: zistenia auditu prichádzajú s konkrétnymi opravami (konfiguračné direktívy, odstránenie balíkov, zmeny povolení); spárovať s nástrojom na správu konfigurácie (Ansible/Salt, pozrite si naše špecializované články) na presadzovanie, pretože ručná náprava sa rozpadne do štvrtiny.
- Jeho prevádzka je lacná, rozhodovanie o zmenách nie: opatrnosť pri audite v produkcii (niektoré sondy sú ťažšie ako iné), na zaneprázdnených hostiteľoch záleží na plánovaní okien a rozdiel medzi hostiteľmi (rovnaká služba nakonfigurovaná odlišne v rámci flotily) je často najzaujímavejším zistením.
- Tam, kde sa nachádza v našej súprave bezpečnostných nástrojov: Lynis je audítor konfigurácie hostiteľa (hygiena jedného stroja), Wazuh SCA rozširuje rovnakú myšlienku na celú oblasť o agentov (náš venovaný článok), OpenVAS skenuje vystavenie na sieť a Falco sleduje runtime; mesačný beh Lynis plus nepretržité kontroly Wazuh je solídny základný pár.
Poznámka z teréna
Spustenie Lynis, ktoré sa ospravedlňovalo: dvaja identickí weboví hostitelia, index spevnenia 74 a 51, rozdielne o jednu zmenu konfigurácie sysctl a jednu SSH pred dvoma rokmi. Nájdenie rozdielu trvalo päť minút a opravou bol modul správy konfigurácie, ktorý teraz stráži oba. Audity platia v deltách.
Často kladené otázky
Testovacie nástroje Lynis vs OpenSCAP/CIS?
Lynis je ľahšia prenosná odpoveď CLI; OpenSCAP nesie formalizmus SCAP založený na XML a môže generovať formálne správy o súlade; pre rýchlu mesačnú kontrolu držania tela s indexom tvrdnutia na každom hostiteľovi, Lynis vyhráva na trenie.
Ako vyzerá typický zoznam nápravných opatrení?
Opravy politiky hesiel a konfigurácie SSH, orezávanie služieb, bezpečné povolenia pre citlivé súbory, úplnosť protokolovania a vylepšenia sysctl jadra; každý nález nesie konkrétnu navrhovanú opravu a testovacie ID, takže zoznam čistenia sa zmení priamo na úlohy Ansible.
Ako často by sme ho mali spúšťať?
Mesačne na základnú líniu flotily, plus po veľkých zmenách konfigurácie alebo registrácii hostiteľa; hodnota sa zlúči prostredníctvom rozdielov oproti predchádzajúcemu cyklu, a nie zo surového skóre akéhokoľvek jednotlivého cyklu.
Je bezpečné spustiť výrobu?
Zväčša len na čítanie podľa návrhu, s niekoľkými možnosťami hlbších testov; spustite ho prvýkrát počas pokojného okna a sondy ovplyvňujúce výkon považujte za voľby konfigurácie a nie za predvolené v produkcii.
Ako Kinetikatech pomáha s nástroje zabezpečenia s otvoreným zdrojom
Uprimne, väčšina tímov k nám prichádza až potom, čo skúšalo veci najskôr samo: Profesionáli testovacej sady nástrojov majú skutočne nabité: skenery, sniffery, crackery a webové servery proxy vysvetlili spôsob, akým sa používajú pri skutočných stretnutiach – príkazy, príznaky, výstupy a kde každý sedí v metodológii. Naša služba Testy penetrácie a Bezpečnosť Linuxových serverov existuje, aby ste sa s nástroje zabezpečenia s otvoreným zdrojom nepoznávali na vlastnej koži; my sa postaráme o nastavenie, dohľad a prekvapenia o tri ráno.