Debian 8にLynisをインストールする

• 前書き
• 取り付け
• 構成
• システムの解釈と強化
• Lynisを定期的に実行する
• 結論

前書き

Lynisは無料のオープンソースシステム監査ツールで、多くのシステム管理者が整合性を検証してシステムを強化するために使用しています。スタンドアロンバイナリとして動作させることも、定期的にチェックを実行するためにインストールすることもできます。この記事では、ソフトウェアをインストールして使用する方法と、Lynisが出力するログを読んで特定する方法を学びます。

CentOS 7でインストールを実行する場合は、こちらの記事を参照してください。

取り付け

注：ユーザーとしてログインしていることを確認してくださいroot。

Lynisのインストールはかなり簡単です。まず、システムを最新の状態にしましょう。

apt-get update
apt-get upgrade

プロンプトが表示されたら、「y」を入力します。これには、更新する必要のあるパッケージの数とシステムの使用可能なリソースに応じて、数秒から30分の間かかる場合があります。

Lynisはオープンソースソフトウェアです。そのため、ソフトウェアの存在はGitHubにあります。リポジトリをダウンロードgitするには、次のコマンドでインストールできるユーティリティを使用してリポジトリを複製する必要があります。

apt-get install git

以前と同様に、「y」でインストールプロンプトを受け入れます。Lynisがネットワークを監査できるように、特定のDNSツールをインストールする必要もあります。

apt-get install dnsutils

前提条件がインストールされたので、リポジトリを複製できます。

cd ~
git clone https://github.com/CISOfy/lynis

少し待ってから、完了したら、ディレクトリを入力して続行します。

cd ~/lynis

システムで適切に機能していることを確認するために、予備的な監査を行います。

./lynis audit system

これにより、システムに存在する可能性のあるセキュリティの問題をすばやくシステムチェックし、いくつかの推奨事項を一覧表示します。Lynisは、次のような結果で終了すると正常に動作しています。

構成

ただし、Lynisの構成はより困難です。実行中のサービスとインスタンスで使用したネットワーク構成に基づいて、システムに応じて調整する必要があります。この記事では、一般的に使用されるネットワーク構成、Webサーバー、および一般的なシステムセキュリティについて説明します。

まず、デフォルトのLynis構成ファイルをコピーして、それに変更を加えます。

cp default.prf custom.prf

次に、お好みのテキストエディタを使用して、以下を開きますcustom.prf。

nano custom.prf

プラグインがリストされているセクションまでスクロールします。テストを高速化するために、関係のないサービスを削除します。

Nginxウェブサーバーを使用していない場合は、「plugin=nginx」を削除します。おそらく、システムがbind9orを実行していないdnsmasqため、それらを削除することもできます。それらを実行している場合は、監査からプラグインを削除せず、不要なチェックをすべて削除するまで、各項目のチェックを続けてください。完了したら、保存してCTRL+ Xで終了し、保存Yします。

次に、Lynisを再実行して、システムで次のように修正する必要がある問題を確認します。

./lynis --profile custom.prf

1〜2分待ってください。完了すると、手順1と同じように表示されますが、不要なスキャンは削除されます。

システムの解釈と強化

Lynisが私たちのベースVultr Debian 8システムに提供する提案を見てみましょう。

ご存知のように、Lynisはインスタンスに潜在的な問題があることを発見しました。一部のノードは、IPv4スタックとIPv6スタックの両方でパケット転送をオンにしたままであると述べています。Dockerまたは同様のコンテナーテクノロジーをVultrシステムで使用する場合は、これらを変更しないでください。それらが必要ない場合は、システムで次のように一時的に変更できます。

sysctl -w <kernel_node>

値を入力する前にこれ/etc/sysctl.confを行って、変更によってシステムが正しく機能することを確認してください。何かが誤動作した場合は、再起動してそのような一時的な変更を削除できます。

スクリーンショットでは、他にも問題があることがわかりますが、これらはこの記事の範囲外であるため、スキップします。

注： システムの問題を防ぐために、十分な注意を払ってください。

次に、下にスクロールして提案セクションを表示すると、構成の変更が可能です。たとえば、Lynisは特定のファイルの許可マスクの変更を提案しています。私たちの例では、強化提案があります：

Default umask in /etc/init.d/rc could be stricter like 027 [AUTH-9328]

このような変更は、テキストエディターを使用し/etc/init.d/rcて行umaskを開いて見つけ、その値をに変更することで簡単に実行できます027。この値は、新しく作成されたファイルを、その所有者による完全な権限、グループによる読み取り権限、およびを除く他のすべてのユーザーのアクセス権に制限しますsystem/root。

Lynisを定期的に実行する

これは比較的簡単に実行でき、最初にをインストールしてcrontabから、Lynisのジョブを追加することで実行できます。

apt-get install crontab

次に、を実行しcrontab -e、次のように入力します。

MAILTO="[email protected]"
0 0 * * * cd /root/lynis && ./lynis --profile custom.prf --cronjob

保存して終了します。これにより、インスタンスで毎日午前0時にLynis監査が実行され、結果がメールで送信されます。

結論

この記事では、Lynis構成の基本と、Lynisをシステム監査や定期的なシステムチェックに利用する方法について説明しました。