开源安全工具
Lynis：用于单命令状态检查的 Linux 审核 CLI
Lynis 是主机配置审核员：一种便携式 CLI，可在一次运行中审核 Unix 主机的安全状况，对内核强化、身份验证实践、权限、日志和已安装软件进行数百次检查，最后以强化索引和报告文件结尾。没有代理，也没有守护进程：定期运行或可编写脚本，这是对 Linux 资产配置状况最快、最诚实的第一眼观察。
要点
- 该工具模型很简单：基于 shell 的审核从源代码运行（无需安装）并读取主机上的实际内容、配置文件、包状态、权限、服务定义；零代理意味着它可以通过 SSH 编写脚本来针对长期被遗忘的队列运行（在繁忙的主机上要小心谨慎）。
- 结果是索引加详细信息：0-100 强化索引总结了状态（并且行为类似于每次运行的 KPI），报告文件 (lynis-report.dat) 提供仪表板/CI，结果包含与测试 ID 明确关联的建议补救措施；工作流程是扫描、与上次运行进行比较，并根据发现分配所有者。
- CIS 映射是部分且有用的：许多检查与 CIS 基准建议一致，但 Lynis 不是完整的 CIS 合规性扫描仪（背后的公司提供企业附加组件）；将基准参考视为加速器，而不是合规证书本身。
- 修复工作流程的价值在于：审计结果附带具体的修复（配置指令、包删除、权限更改）；与配置管理工具（Ansible/Salt，请参阅我们的专门文章）配对进行强制执行，因为手动修复会在四分之一内衰减。
- 运行它很便宜，决定更改则不然：生产中的审核谨慎（某些探测器比其他探测器更重），调度窗口在繁忙的主机上很重要，主机之间的增量（在整个队列中配置不同的相同服务）通常是最有趣的发现。
- 它在我们的安全工具集中的位置：Lynis 是主机配置审核员（一台机器的卫生），Wazuh SCA 通过代理在整个范围内扩展相同的想法（我们的专门文章），OpenVAS 扫描面向网络的暴露，Falco 监视运行时间；每月 Lynis 跑步加上 Wazuh 持续检查是可靠的基线配对。
一线手记
Lynis 运行证明了自己的合理性：两个相同的 Web 主机，强化指数 74 和 51，由于两年前的一个 sysctl 和一个 SSH 配置更改而出现分歧。差异花了五分钟才找到，修复是一个配置管理模块，现在可以保护两者。审计费用以增量计算。
常见问题
Lynis 与 OpenSCAP/CIS 基准测试工具对比？
Lynis 是更轻的便携式 CLI 答案； OpenSCAP承载了基于XML的SCAP形式主义，可以生成正式的合规报告；对于每月对每台主机进行硬化指数的快速姿势检查，Lynis 凭借摩擦力获胜。
典型的修复列表是什么样的？
密码策略和 SSH 配置修复、服务修剪、敏感文件的安全权限、日志记录完整性和内核 sysctl 调整；每个发现都带有具体的建议修复和测试 ID，因此清理列表直接变成 Ansible 任务。
我们应该多久运行一次？
每月在队列基准上，加上重大配置更改或主机加入后；该值通过与前一次运行的差异而不是任何单次运行的原始分数来复合。
在生产环境中运行安全吗？
大部分设计为只读，可选择加入一些更深入的测试；第一次在平静的窗口中运行它，并将影响性能的探测器视为配置选择，而不是生产中的默认值。
Kinetikatech 如何在开源安全工具方面为您提供帮助
您不必自己成为开源安全工具专家：测试工具箱专业人员实际上一直在加载：扫描仪、嗅探器、破解器和网络代理解释了它们在实际操作中的使用方式 - 命令、标志、输出以及每个工具在方法中的位置。渗透测试和Linux 服务器安全正是为此而设：配置、加固、监控，并有工程师日夜值守。