在Debian 8上安装Lynis

• 介绍
• 安装
• 组态
• 解释和强化系统
• 使Lynis定期运行
• 结论

介绍

Lynis是一个免费的开源系统审核工具，许多系统管理员使用该工具来验证完整性并加强其系统。它可以作为独立的二进制文件运行，也可以安装为定期执行检查。在本文中，您将学习如何安装和使用该软件，以及学习阅读和识别Lynis输出的日志。

如果您想在CentOS 7上执行安装，请参阅本文。

安装

注意：请确保您以root用户身份登录。

Lynis的安装非常简单。首先，让我们更新系统。

apt-get update
apt-get upgrade

出现提示时，输入“ y”。这可能需要几秒钟到半个小时的时间，具体取决于需要更新的软件包数量和系统的可用资源。

Lynis是开源软件。因此，该软件位于GitHub上。要下载存储库，我们需要使用该git实用程序对其进行克隆，可以使用以下命令进行安装：

apt-get install git

与以前一样，使用“ y” 接受安装提示。我们还需要安装某些DNS工具，以便Lynis可以审核我们的网络：

apt-get install dnsutils

现在我们已经安装了先决条件，我们可以克隆存储库：

cd ~
git clone https://github.com/CISOfy/lynis

请稍等一下，一旦完成，请进入目录继续：

cd ~/lynis

我们将进行初步审核，以确保它在您的系统上正常运行：

./lynis audit system

这将对系统中可能存在的任何安全问题执行快速的系统检查，并列出一些建议。Lynis如果完成的结果与以下类似，则表明它正常工作：

组态

但是，配置Lynis更加困难。您将需要根据您所运行的服务以及实例上使用的网络配置，根据您的系统定制它。在本文中，我们将介绍常用的网络配置以及Web服务器和常规系统安全性。

让我们开始复制默认的Lynis配置文件并对其进行更改：

cp default.prf custom.prf

然后，使用您喜欢的文本编辑器，打开custom.prf：

nano custom.prf

滚动到列出插件的部分。我们将删除与我们无关的服务，以加快测试速度：

如果您不使用Nginx Web服务器，请删除“ plugin=nginx”。可能是，您的系统未运行bind9或dnsmasq，因此您也可以将其删除。如果您正在运行它们，请不要从审核中删除插件，并继续检查每个项目，直到您删除了所有不必要的检查。完成后，保存并使用CTRL+ 退出，X然后Y保存。

现在，让我们重新运行Lynis，以查看我们需要在系统中解决的问题，包括以下内容：

./lynis --profile custom.prf

请等待一两分钟，完成后，它应显示为第一步中的样子，但是删除了不必要的扫描。

解释和强化系统

让我们看一下Lynis在基本Vultr Debian 8系统上提供的建议：

如您所知，Lynis发现了我们实例上存在的一些潜在问题。一些节点提到我们为IPv4和IPv6堆栈都保留了数据包转发功能-如果您计划在Vultr系统上使用Docker或类似的容器技术，请不要更改它们。如果不需要它们，可以使用以下命令在系统上临时更改它们：

sysctl -w <kernel_node>

在输入值之前，请执行此操作，/etc/sysctl.conf以确保您的系统在进行更改后可以正常运行。如果出现故障，您可以重新启动以删除此类临时更改。

在屏幕截图中，您还会注意到还有其他问题，但是它们不在本文讨论范围之内，因此我们将其跳过。

注意： 确保进行尽职调查，以防止系统出现任何问题。

现在，向下滚动到“建议”部分，您将发现可以进行大量的配置更改。例如，Lynis建议更改某些文件的权限掩码。在我们的实例中，我们发现了一个强化的建议：

Default umask in /etc/init.d/rc could be stricter like 027 [AUTH-9328]

通过使用文本编辑器，打开/etc/init.d/rc并找到该行umask并将其值更改为，可以轻松实现这种更改027。此值会将新创建的文件限制为拥有者的完全权限，由该组限制为读取权限，除之外的所有其他用户均无访问权限system/root。

使Lynis定期运行

这相对容易实现，可以通过首先安装crontab，然后为Lynis添加作业来完成：

apt-get install crontab

然后，执行crontab -e，并输入以下内容：

MAILTO="[email protected]"
0 0 * * * cd /root/lynis && ./lynis --profile custom.prf --cronjob

保存它，然后退出。这将在每天的午夜对您的实例运行一次Lynis审核，并向您发送一封包含结果的电子邮件。

结论

在本文中，我们介绍了Lynis配置的基础知识，以及如何将其用于系统审核以及对系统的常规检查。