lynis

Lynis 主机安全审计

补充说明

lynis 检查 Linux 主机的配置、权限、服务、补丁和加固项，输出建议和评分。它是审计工具，不会自动修改系统。

常用示例

lynis audit system
lynis audit system --quick
lynis audit system --cronjob
lynis audit system --auditor 'ops team'
lynis audit system --tests-from-group authentication
lynis audit system --report-file /var/log/lynis-report.dat
lynis show version
lynis update info

常见检查方向

系统与内核参数
SSH 与认证配置
文件权限与 SUID
服务与开放端口
日志与审计
防火墙与补丁
容器与虚拟化

易错点与排错

• 需要 root 才能读取完整配置和文件权限；普通用户结果不完整。
• 它是审计建议，不会自动修复；逐条评估后再改。
• 误报和“环境差异”很常见；结合业务判断，不要盲目全改。
• 每次升级或重大配置变更后重跑，保存报告做基线对比。
• --cronjob 适合定期执行，但报告要集中收集。
• 容器内运行只能看到容器视角，不能代表宿主机。
• 不要把评分当唯一目标；可用性和合规要求也要考虑。

相关命令

• lynis — 审计
• aide / rkhunter — 完整性/恶意软件检查
• auditd — 审计日志