Аудит Linux с Lynis — быстро и безопасно

специалисты по безопасности проводят аудит Linux‑ПК

Будь вы системный администратор или пользователь, безопасность сервера или рабочего ПК должна быть в приоритете. Linux по умолчанию безопасен, но уязвимости и неправильные настройки встречаются так же часто, как и в других ОС. Этот материал объясняет, как проводить аудит и сканирование уязвимостей на Linux‑машине с помощью Lynis: что он проверяет, как устанавливать и запускать, как читать отчёт и что делать дальше.

Что такое Lynis и как он работает

Lynis — открытый инструмент для аудита безопасности и теста жёсткости (hardening) систем Unix-подобных ОС: Linux, macOS, Solaris, FreeBSD и других. Он модульный и проверяет только те компоненты, которые найдёт в системе: системные инструменты, библиотеки, конфигурационные файлы и демоны.

Ключевые моменты работы Lynis:

Lynis выполняет профиль системы: версия ОС, ядро, менеджер служб, доступные утилиты и библиотеки.
Аудиты формируются под конкретную систему — отчёт зависит от установленного ПО и конфигурации.
Инструмент можно запускать без установки — прямо из распакованной папки, чтобы не менять состояние системы.
Техничеcкая информация и рекомендации сохраняются в логах: файл audit‑вывода в /var/log/lynis.log и файл рекомендаций в /var/log/lynis-report.dat.

Важно: для запуска Lynis обычно требуются повышенные привилегии (sudo или root).

Установка Lynis на Linux

Есть два простых и надёжных подхода: установить через менеджер пакетов или запустить из исходников/архива.

Установка из репозиториев (рекомендуется для удобства)

На Debian/Ubuntu:

sudo apt update
sudo apt install lynis

На RHEL/Fedora/CentOS:

sudo dnf install lynis

На Arch Linux:

sudo pacman -S lynis

Проверить версию:

sudo lynis --version

Важно: используйте пакетный менеджер вашей дистрибуции, чтобы получать обновления безопасности.

Запуск напрямую из архива (минимальный след)

Если вы не хотите «устанавливать» ничего в систему, скачайте tarball с официального сайта и распакуйте:

wget https://example.com/lynis.tar.gz -O lynis.tar.gz
tar xzf lynis.tar.gz
cd lynis
sudo ./lynis audit system

(Ссылка выше — пример; скачивайте только из официальных источников.)

Как запустить аудит

Для базового аудита используйте команду:

sudo lynis audit system

Lynis выполнит серию проверок, выведет прогресс в консоль и сохранит подробные логи в /var/log/.

Разбор отчёта Lynis

пример вывода отчёта Lynis

Отчёт разделён на блоки для удобства. Основные категории, которые вы увидите:

Boot and Services — обзор процесса загрузки и менеджера служб (systemd, OpenRC и т.д.), запущенных и включённых служб, потенциально опасных сервисов.
Users, Groups and Authentication — проверка учётных записей, прав на /etc/passwd, PAM‑конфигураций, политик паролей и истечения паролей.
USB Devices — наличие поддерживаемых методов авторизации для USB и контроля устройств.
Ports and Packages — открытые порты и устаревшие пакеты, которые могут представлять риск.
Logging and Files — состояние демона логирования, доступность и права на важные журналы.

Lynis также проверяет сеть, файловые системы, оболочки, память, процессы и другие критичные подсистемы.

Цветовая кодировка

Lynis использует цветовую шкалу для приоритезации:

Зелёный — нормально, действий не требуется.
Оранжевый — стоит проверить (например, модуль не найден или отключён).
Красный — высокая приоритетность, необходимо срочно исправить.

Важно: считайте приоритеты и начните с элементов, отмеченных красным, затем оранжевым.

Быстрые команды и справочник (cheat sheet)

Запустить полный аудит:

sudo lynis audit system

Показать доступные опции:

sudo lynis show

Просмотреть man‑страницу:

man lynis

Проверить версию:

sudo lynis --version

Логи и отчёты:

/var/log/lynis.log — технический лог /var/log/lynis-report.dat — рекомендации и предупреждения

Мини‑методология аудита: шаги для повторяемого процесса

Скопируйте систему или протестируйте на ближайшем тестовом стенде.
Обновите систему (пакеты, ядро, важные сервисы).
Запустите Lynis как root: sudo lynis audit system.
Сохраните и зафиксируйте отчёт (архивируйте /var/log/lynis*).
Разбейте рекомендации на приоритеты: критические, важные, рекомендованные.
Выполните исправления в контролируемой среде, применяйте конфигурационные изменения через систему управления конфигурациями (Ansible/Chef/Puppet).
Повторите аудит и сверяйте результаты с предыдущим отчётом.

Чек‑лист по ролям

Администратор:

Обновил пакеты и ядро.
Установил все критические исправления из отчёта Lynis.
Убедился, что службы с открытыми портами защищены фаерволлом.
Проверил права на конфигурационные файлы и логи.

Аудитор/ISO‑специалист:

Сравнил текущий отчёт с предыдущим.
Задокументировал исключения и обоснования.
Подготовил план исправлений и план тестирования.

DevOps/Инженер по CI/CD:

Добавил автоматический запуск Lynis в тестовую стадию pipeline.
Интегрировал проверку в систему оповещений при критических ошибках.
Создал автоматические исправления для тривиальных находок (например, разрешения файлов).

Когда Lynis может быть недостаточен (противопоказания и ограничения)

Lynis не заменяет сетевой сканер уязвимостей (например, OpenVAS или Nessus) для глубокой проверки внешних экспозиций.
Он не делает эксплуатационных атак (exploit), поэтому некоторые логические уязвимости могут остаться незамеченными.
Не находит уязвимости в нестандартных закрытых приложениях без соответствующих модулей.

Альтернатива или дополнение: Nmap для разведки сети, OpenVAS/Greenbone для проверки уязвимостей, OpenSCAP для соответствия профильным требованиям, OSSEC/Tripwire для мониторинга изменений файлов.

Матрица рисков и меры смягчения

Риск	Уровень	Возможное влияние	Рекомендация по смягчению
Открытые уязвимые порты	Высокий	Неавторизованный доступ	Закрыть/ограничить через firewall, настроить аутентификацию, обновить сервис
Неправильные права на /etc/passwd или /etc/shadow	Высокий	Утечка учётных данных	Исправить права, включить PAM‑политику, применить MFA для админов
Устаревшие пакеты	Средний	Эксплойт через известные CVE	Обновить пакеты, использовать автоматические обновления где возможно
Отсутствие логирования	Средний	Трудности в расследовании инцидентов	Установить и настроить rsyslog/ journald, централизовать логи

Важно: начинайте с рисков с высоким уровнем и высокой вероятностью воздействия.

Быстрые приёмы жёсткого укрепления (security hardening)

Отключите ненужные службы и демоны.
Закройте ненужные порты в iptables/nftables или firewalld.
Включите автоматические обновления для критичных пакетов, если это допустимо в вашей среде.
Настройте сильную политику паролей и MFA для администраторов.
Централизуйте логи и храните их вне целевой системы.
Ограничьте доступ по SSH: используйте ключи, запретите root‑логин, включите fail2ban.

Критерии приёмки аудита

Выполнены все действия, помеченные как «критические» в отчёте.
Количество критических предупреждений уменьшилось по сравнению с базовой линией.
Документированы все изменения и отложенные исправления с обоснованием.
Выполнено повторное сканирование с подтверждением исправлений.

Совместимость и советы по миграции

Lynis поддерживает большинство Unix‑подобных систем. При переносе конфигурации между дистрибуциями учтите различия в путях конфигураций и менеджерах пакетов. Для автоматизации используйте обёртки (скрипты или Ansible‑role), которые абстрагируют вызовы пакетного менеджера и путь к журналам.

Пример принятого рабочего процесса (Playbook)

Уведомление команды о запланированном аудите.
Запуск Lynis в тестовой среде.
Сохранение отчёта и генерация перечня задач.
Приоритезация задач и назначение ответственных.
Реализация исправлений и тесты.
Повторный аудит и закрытие задач.

Визуальное правило: решение — запуск локально или установка

flowchart TD
  A[Нужна ли постоянная автоматизация?] -->|Да| B[Установить через пакетный менеджер]
  A -->|Нет| C[Запустить из архива/тарбола]
  B --> D[Добавить в CI/CD и следить за обновлениями]
  C --> E[Запустить периодически вручную и сохранять логи]

Однострочный глоссарий

Lynis — инструмент аудита безопасности и hardening для Unix‑подобных систем.
Hardening — процесс уменьшения поверхности атаки системы.
CVE — идентификатор опубликованной уязвимости.

Заключение

Lynis — надёжный помощник в регулярных проверках безопасности Linux‑систем. Он даёт понятный отчёт, рекомендации и сохраняет логи для последующего анализа. Используйте его как часть комплексной стратегии безопасности вместе с сетевыми сканерами, системой управления конфигурацией и мониторингом. Регулярный аудит, приоритетная обработка критических замечаний и повторные проверки — путь к устойчивой защите.

Важно: тестируйте изменения в контролируемой среде и документируйте все исключения.

Дополнительные ресурсы

Официальный сайт Lynis — загрузки и документация (используйте официальный источник для скачивания).
Инструменты для дополнения: Nmap, OpenVAS/Greenbone, OpenSCAP, OSSEC.