Инструменты безопасности с открытым исходным кодом
Lynis: интерфейс командной строки аудита Linux для проверок состояния одной командой
Lynis — это аудитор конфигурации хоста: портативный CLI, который проверяет состояние безопасности хоста Unix за один запуск, сотни проверок уровня защиты ядра, методов аутентификации, разрешений, журналов и установленного программного обеспечения, заканчивающиеся индексом усиления безопасности и файлом отчета. Здесь нет ни агента, ни демона: запускайте его периодически или по сценарию, и это самый быстрый и честный первый взгляд на гигиену конфигурации Linux-системы.
Главное
- Модель инструмента проста: аудит на основе оболочки запускается из исходного кода (установка не требуется) и считывает то, что на самом деле находится на хосте, файлы конфигурации, состояние пакета, разрешения, определения служб; отсутствие агента означает, что он может работать с давно забытыми флотами, используя сценарии через SSH (с осторожностью на занятых хостах).
- Результаты представляют собой индекс плюс детализацию: индекс усиления защиты от 0 до 100 суммирует состояние (и ведет себя как KPI для каждого запуска), файл отчета (lynis-report.dat) используется для информационных панелей/CI, а результаты содержат предлагаемые исправления, явно привязанные к идентификаторам тестов; рабочий процесс заключается в сканировании, сравнении с последним запуском и назначении владельцев для каждого обнаружения.
- Сопоставление CIS является частичным и полезным: многие проверки соответствуют рекомендациям тестов CIS, но Lynis не является полным сканером соответствия CIS (компания, стоящая за ним, предлагает корпоративные надстройки); рассматривайте эталонные стандарты как ускорители, а не сам сертификат соответствия.
- Рабочий процесс исправления имеет ценность: результаты аудита сопровождаются конкретными исправлениями (директивы конфигурации, удаление пакетов, изменение разрешений); используйте инструмент управления конфигурациями (Ansible/Salt, см. наши специальные статьи) для обеспечения соблюдения требований, поскольку ручное исправление становится невозможным в течение квартала.
- Его запуск обходится дешево, а принятие решений об изменениях — нет: аудит производительности (некоторые зонды тяжелее других), планирование окон имеет значение на занятых хостах, а разница между хостами (одна и та же служба настроена по-разному в парке) часто является наиболее интересным открытием.
- Где он находится в нашем наборе инструментов безопасности: Lynis — аудитор конфигурации хоста (гигиена одной машины), Wazuh SCA распространяет ту же идею на всю сеть с помощью агентов (наша специальная статья), OpenVAS сканирует уязвимости, связанные с сетью, а Falco наблюдает за временем выполнения; ежемесячный запуск Lynis плюс непрерывные проверки Wazuh — это надежная базовая комбинация.
Заметка из практики
Запуск Lynis оправдал себя: два идентичных веб-хоста с индексами защиты 74 и 51, отличающиеся одним изменением конфигурации sysctl и одним SSH два года назад. На поиск различий ушло пять минут, и исправлением стал модуль управления конфигурациями, который теперь защищает оба. Аудиты платят в дельтах.
Частые вопросы
Lynis или инструменты тестирования OpenSCAP/CIS?
Lynis — более легкий портативный вариант CLI; OpenSCAP использует формализм SCAP на основе XML и может генерировать формальные отчеты о соответствии; для быстрой ежемесячной проверки состояния с индексом жесткости на каждом хосте Lynis выигрывает по трению.
Как выглядит типичный список исправлений?
Исправления политики паролей и конфигурации SSH, сокращение служб, безопасные разрешения для конфиденциальных файлов, полнота журналирования и настройки sysctl ядра; каждое обнаружение содержит конкретное предлагаемое исправление и идентификатор теста, поэтому список очистки превращается непосредственно в задачи Ansible.
Как часто нам следует его запускать?
Ежемесячно для базового парка, а также после серьезных изменений конфигурации или подключения хоста; значение суммируется за счет различий с предыдущим прогоном, а не из исходного результата любого отдельного прогона.
Безопасно ли работать в производстве?
В основном предназначен только для чтения, с возможностью участия в нескольких более глубоких тестах; запустите его в первый раз в спокойном окне и рассматривайте тесты, влияющие на производительность, как варианты конфигурации, а не как значения по умолчанию в рабочей среде.
Как мы берём на себя инструменты безопасности с открытым исходным кодом
Это то, чем мы занимаемся каждый день: Профессионалы по инструментам тестирования на самом деле продолжают работать: сканеры, снифферы, взломщики и веб-прокси объясняют, как они используются в реальных заданиях — команды, флаги, выходные данные и место каждого из них в методологии. Наша услуга Тесты на проникновение и Безопасность серверов Linux закрывает задачу целиком — оценка, внедрение, круглосуточный мониторинг и экстренная реакция в течение 30 минут.