Säkerhetsverktyg med öppen källkod
Lynis: Linux Auditing CLI för enkommandokontroller
Lynis är värdkonfigurationsgranskaren: en bärbar CLI som granskar en Unix-värds säkerhetsställning i en körning, hundratals kontroller över kärnhärdning, autentiseringsmetoder, behörigheter, loggar och installerad programvara, som slutar med ett härdningsindex plus en rapportfil. Det finns ingen agent och ingen demon: kör den med jämna mellanrum eller skriptbar, och det är den snabbaste ärliga första titt på en Linux-anläggnings konfigurationshygien.
Nyckelpunkter
- Verktygsmodellen är enkel: en skalbaserad granskning körs från källan (ingen installation krävs) och läser vad som faktiskt finns på värden, konfigurationsfiler, pakettillstånd, behörigheter, tjänstdefinitioner; noll agent betyder att den kan köras mot sedan länge bortglömda flottor genom att skripta över SSH (med försiktig försiktighet på upptagna värdar).
- Resultaten är index plus detaljer: ett härdningsindex på 0-100 sammanfattar hållningen (och beter sig som en KPI per körning), rapportfilen (lynis-report.dat) matar instrumentpaneler/CI, och fynden innehåller föreslagna åtgärder som är explicit knutna till test-ID:n; arbetsflödet är skanna, diff mot senaste körning och tilldela ägare per fynd.
- CIS-mappning är delvis och användbar: många kontroller överensstämmer med CIS-riktmärkesrekommendationer, men Lynis är inte en fullständig CIS-efterlevnadsskanner (företaget bakom erbjuder företagstillägg); behandla referenserna som acceleratorer, inte själva överensstämmelsecertifikatet.
- Saneringsarbetsflödet är värdet: granskningsresultat kommer med konkreta korrigeringar (konfigurationsdirektiv, borttagning av paket, ändringar av behörigheter); koppla ihop med ett konfigurationshanteringsverktyg (Ansible/Salt, se våra dedikerade artiklar) för verkställighet eftersom manuell sanering försvinner inom ett kvartal.
- Att köra det är billigt, att besluta om förändringar är det inte: försiktighet vid revision i produktionen (vissa sonder är tyngre än andra), schemaläggning av fönster spelar roll på upptagna värdar och deltat mellan värdar (samma tjänst konfigurerad på olika sätt över hela flottan) är ofta det mest intressanta fyndet.
- Där det finns i vår uppsättning säkerhetsverktyg: Lynis är värdkonfigurationsgranskaren (en maskins hygien), Wazuh SCA utökar samma idé över hela fastigheten med agenter (vår dedikerade artikel), OpenVAS skannar nätverksvänd exponering och Falco tittar på körtid; den månatliga Lynis-körningen plus Wazuh kontinuerliga kontroller är en solid baslinjeparning.
Fältnotis
Lynis-körningen som motiverade sig själv: två identiska webbvärdar, härdningsindex 74 och 51, divergerade med en sysctl och en SSH-konfigurationsändring två år tidigare. Diffen tog fem minuter att hitta och korrigeringen var en konfigurationshanteringsmodul som nu skyddar båda. Revisioner betalar i delta.
Vanliga frågor
Lynis vs OpenSCAP/CIS benchmarkverktyg?
Lynis är det lättare bärbara CLI-svaret; OpenSCAP bär den XML-baserade SCAP-formalismen och kan generera formella efterlevnadsrapporter; för en snabb månatlig hållningskontroll med ett härdningsindex på varje värd vinner Lynis på friktion.
Hur ser en typisk saneringslista ut?
Lösenordspolicy och SSH-konfigurationsfixar, servicebeskärning, säkra behörigheter för känsliga filer, loggningsfullständighet och justeringar av kärnans sysctl; varje fynd har ett konkret förslag på fix och test-ID, så rensningslistan förvandlas direkt till Ansible-uppgifter.
Hur ofta ska vi köra det?
Månatlig på en flotta baslinje, plus efter större konfigurationsändringar eller värdintroduktion; värdet sammansätts via diffar mot föregående körning snarare än från råpoängen för någon enskild körning.
Är det säkert att köra i produktion?
Mestadels skrivskyddad genom design, med en handfull djupare tester som kan väljas; kör det under ett lugnt fönster första gången och behandla prestandapåverkande prober som konfigurationsval snarare än standardinställningar i produktionen.
Så hjälper Kinetikatech dig med säkerhetsverktyg med öppen källkod
Ärligt talat kommer de flesta team till oss efter att ha försökt själva först: Proffsen i testverktygslådan håller faktiskt laddad: skannrar, sniffers, crackers och webbproxyer förklarade hur de används på verkliga engagemang - kommandon, flaggor, utdata och var var och en sitter i en metodik. Vår Penetrationstester och Linux-serversäkerhet-tjänst finns så att du slipper lära dig säkerhetsverktyg med öppen källkod den hårda vägen, vi tar installationen, bevakningen och överraskningarna klockan tre på morgonen.