Nástroje zabezpečení s otevřeným zdrojovým kódem
Lynis: Linux Auditing CLI pro kontrolu polohy jedním příkazem
Lynis je auditorem konfigurace hostitele: přenosné CLI, které v jednom běhu audituje bezpečnostní pozici hostitele Unixu, stovky kontrol napříč zpevňováním jádra, postupy ověřování, oprávnění, protokoly a nainstalovaný software, končící indexem zpevnění a souborem zprávy. Neexistuje žádný agent a žádný démon: spouštějte jej pravidelně nebo skriptovatelně a je to nejrychlejší a poctivý první pohled na hygienu konfigurace linuxového panství.
Klíčové body
- Model nástroje je jednoduchý: audit založený na shellu běží ze zdroje (není nutná instalace) a čte, co je skutečně na hostiteli, konfigurační soubory, stav balíčku, oprávnění, definice služeb; nulový agent znamená, že může běžet proti dávno zapomenutým flotilám skriptováním přes SSH (s jemnou opatrností na zaneprázdněných hostitelích).
- Výsledky jsou index plus podrobnosti: index zpevnění 0-100 shrnuje polohu těla (a chová se jako KPI za běh), soubor zprávy (lynis-report.dat) poskytuje řídicí panely/CI a zjištění obsahují navrhovaná náprava výslovně spojená s testovacími ID; pracovní postup je skenování, porovnání s posledním spuštěním a přiřazení vlastníků podle nálezu.
- Mapování CIS je částečné a užitečné: mnoho kontrol je v souladu s doporučeními srovnávacích testů CIS, ale Lynis není úplným skenerem souladu s CIS (společnost, která za tím stojí, nabízí podnikové doplňky); zacházet s referenčními referencemi jako s akcelerátory, nikoli s certifikátem shody samotným.
- Hodnotou je pracovní postup nápravy: zjištění auditu přicházejí s konkrétními opravami (konfigurační direktivy, odstranění balíčků, změny oprávnění); spárovat s nástrojem pro správu konfigurace (Ansible/Salt, viz naše vyhrazené články) pro vynucení, protože ruční sanace se rozpadne během čtvrtletí.
- Jeho provoz je levný, rozhodování o změnách nikoli: audit v produkční opatrnosti (některé sondy jsou těžší než jiné), na zaneprázdněných hostitelích záleží na plánování oken a rozdíl mezi hostiteli (stejná služba nakonfigurovaná různě napříč flotilou) je často nejzajímavější zjištění.
- Tam, kde to sedí v naší sadě bezpečnostních nástrojů: Lynis je auditor konfigurace hostitele (hygiena jednoho stroje), Wazuh SCA rozšiřuje stejnou myšlenku o agenty (náš vyhrazený článek), OpenVAS skenuje vystavení na síti a Falco sleduje běh; měsíční běh Lynis plus průběžné kontroly Wazuh jsou solidní základní párování.
Poznámka z terénu
Spuštění Lynisu se ospravedlňovalo: dva identičtí weboví hostitelé, index zpevnění 74 a 51, odlišení jednou změnou konfigurace sysctl a jednou SSH před dvěma lety. Hledání rozdílu trvalo pět minut a opravou byl modul pro správu konfigurace, který nyní hlídá oba. Audity se platí v deltách.
Časté dotazy
Srovnávací nástroje Lynis vs OpenSCAP/CIS?
Lynis je lehčí přenosná odpověď CLI; OpenSCAP nese formalismus SCAP založený na XML a může generovat formální zprávy o shodě; pro rychlou měsíční kontrolu držení těla s indexem zpevnění na každém hostiteli vyhrává Lynis na tření.
Jak vypadá typický seznam nápravných opatření?
Opravy zásad hesel a konfigurace SSH, prořezávání služeb, zabezpečená oprávnění k citlivým souborům, úplnost protokolování a vylepšení sysctl jádra; každý nález nese konkrétní navrhovanou opravu a testovací ID, takže seznam čištění se změní přímo na úlohy Ansible.
Jak často bychom to měli provozovat?
Měsíčně na základně vozového parku, plus po velkých změnách konfigurace nebo po registraci hostitele; hodnoty se skládají prostřednictvím rozdílů oproti předchozímu běhu spíše než od hrubého skóre kteréhokoli jednotlivého běhu.
Je bezpečné provozovat produkci?
Většinou jen pro čtení podle návrhu, s hrstkou hlubších testů, které lze přihlásit; spusťte jej poprvé během klidného okna a zacházejte se sondami ovlivňujícími výkon jako s konfiguračními volbami, nikoli s výchozími hodnotami v produkci.
Jak Kinetikatech pomáhá s nástroje zabezpečení s otevřeným zdrojovým kódem
Upřímně, většina týmů se na nás obrací poté, co to nejdřív zkusila sama: Profesionálové z testovací sady nástrojů mají skutečně nabité: skenery, sniffery, crackery a webové proxy vysvětlily způsob, jakým se používají při skutečných zakázkách – příkazy, příznaky, výstupy a kde každý sedí v metodice. Naše služba Penetrační testy a Zabezpečení linuxových serverů je tu proto, abyste nástroje zabezpečení s otevřeným zdrojovým kódem nepoznávali na vlastní kůži; my se postaráme o zprovoznění, dohled a překvapení ve tři ráno.