Odprtokodna varnostna orodja
Lynis: CLI za revizijo Linuxa za preverjanje drže z enim ukazom
Lynis je revizor konfiguracije gostitelja: prenosni CLI, ki revidira varnostno stanje gostitelja Unix v enem zagonu, na stotine preverjanj utrjevanja jedra, postopkov preverjanja avtorizacije, dovoljenj, dnevnikov in nameščene programske opreme, ki se konča z indeksom utrjevanja in datoteko poročila. Ni agenta in demona: zaženite ga občasno ali z možnostjo skriptiranja in je najhitrejši pošten prvi pogled na higieno konfiguracije posesti Linux.
Ključne točke
- Model orodja je preprost: revizija, ki temelji na lupini, se izvaja iz vira (ni potrebna namestitev) in prebere, kaj je dejansko na gostitelju, konfiguracijske datoteke, stanje paketa, dovoljenja, definicije storitev; ničelni agent pomeni, da lahko deluje proti dolgo pozabljenim flotam s skriptiranjem prek SSH (z rahlo previdnostjo pri zasedenih gostiteljih).
- Rezultati so indeks in podrobnosti: utrjevalni indeks 0–100 povzema držo (in se obnaša kot KPI na zagon), datoteka s poročilom (lynis-report.dat) dovaja nadzorne plošče/CI, ugotovitve pa vsebujejo predlagane popravke, izrecno povezane z ID-ji testov; potek dela je skeniranje, razlikovanje glede na zadnji zagon in dodeljevanje lastnikov glede na ugotovitev.
- Preslikava CIS je delna in uporabna: številna preverjanja so usklajena s priporočili za primerjalne vrednosti CIS, vendar Lynis ni popoln pregledovalnik skladnosti s CIS (podjetje, ki stoji za njim, ponuja poslovne dodatke); referenčne primerjalne vrednosti obravnavajte kot pospeševalce, ne pa sam certifikat skladnosti.
- Delovni potek sanacije je vrednost: ugotovitve revizije so opremljene s konkretnimi popravki (navodila za konfiguracijo, odstranitve paketov, spremembe dovoljenj); združite z orodjem za upravljanje konfiguracije (Ansible/Salt, glejte naše namenske članke) za uveljavljanje, saj ročno popravljanje upade v četrtletju.
- Izvajanje je poceni, odločanje o spremembah ni: revizija v proizvodnji je previdna (nekatere sonde so težje od drugih), razporejanje oken je pomembno pri zasedenih gostiteljih in delta med gostitelji (ista storitev, ki je različno konfigurirana v floti) je pogosto najbolj zanimiva ugotovitev.
- Kje sedi v našem naboru varnostnih orodij: Lynis je revizor konfiguracije gostitelja (higiena enega stroja), Wazuh SCA razširja isto idejo na celotno posestvo z agenti (naš namenski članek), OpenVAS skenira izpostavljenost v omrežju in Falco opazuje čas izvajanja; mesečna izvedba Lynis in neprekinjena preverjanja Wazuh so soliden osnovni par.
Terenska beležka
Izvedba Lynis, ki se je upravičila: dva enaka spletna gostitelja, utrjena indeksa 74 in 51, ki sta se razlikovala zaradi ene spremembe konfiguracije sysctl in ene SSH pred dvema letoma. Iskanje razlike je trajalo pet minut, popravek pa je bil modul za upravljanje konfiguracije, ki zdaj varuje oba. Revizije plačajo v deltah.
Pogosta vprašanja
Lynis v primerjavi z orodji za primerjalno testiranje OpenSCAP/CIS?
Lynis je lažji prenosni CLI odgovor; OpenSCAP nosi formalizem SCAP, ki temelji na XML, in lahko ustvari uradna poročila o skladnosti; za hitro mesečno preverjanje drže z indeksom utrjevanja na vsakem gostitelju, Lynis zmaga pri trenju.
Kako izgleda tipičen sanacijski seznam?
Politika gesel in popravki konfiguracije SSH, obrezovanje storitev, varna dovoljenja za občutljive datoteke, popolnost beleženja in popravki sysctl jedra; vsaka ugotovitev nosi konkreten predlagan popravek in testni ID, tako da se seznam za čiščenje spremeni neposredno v opravila Ansible.
Kako pogosto naj ga izvajamo?
Mesečno na osnovni liniji flote, plus po večjih spremembah konfiguracije ali vkrcanju gostitelja; vrednost se sestavi prek razlik v primerjavi s prejšnjim tekom in ne iz surovega rezultata katerega koli posameznega teka.
Ali je varno delovati v proizvodnji?
Večinoma samo za branje po zasnovi, s peščico globljih testov, ki jih lahko izberete; prvič ga zaženite med mirnim oknom in sonde, ki vplivajo na zmogljivost, obravnavajte kot izbire konfiguracije in ne kot privzete v produkciji.
Kako Kinetikatech pomaga s odprtokodna varnostna orodja
Po pravici, večinoma ekipe pridejo k nam, ko najprej poskusijo lastno: Strokovnjaki z orodjem za preskušanje dejansko še naprej nalagajo: skenerji, snifferji, krekerji in spletni posredniki so razložili, kako se uporabljajo pri resničnih dogodkih – ukazi, zastavice, izhodi in mesto vsakega v metodologiji. Naša storitev Teste prodiranja in Varnost strežnikov Linux obstaja, da se ne morete naučiti odprtokodna varnostna orodja na lastno kožo; mi se skrbimo za nastavitev, nadzor in nočne presenečenja ob 3. uri.