Lynis实战教程：如何配置自定义安全检测规则
项目地址: https://gitcode.com/GitHub_Trending/ly/lynis 概述
Lynis作为一款强大的安全审计工具，其真正的威力在于其高度可定制性。通过自定义安全检测规则，您可以将Lynis从通用安全扫描器转变为针对特定环境和合规要求的专属安全审计平台。本文将深入探讨Lynis的自定义配置机制，帮助您构建符合组织需求的安全检测体系。
自定义配置文件机制
配置文件优先级与继承
Lynis采用配置文件继承机制，按以下顺序加载配置：
创建自定义配置文件
在Lynis目录下创建custom.prf文件：
# 创建自定义配置文件
touch /etc/lynis/custom.prf
# 或者使用相对路径
touch custom.prf
配置文件语法规范
# 基本语法格式
option=value
# 注释以#开头
# 这是注释行
# 多值配置（使用冒号分隔）
ssl-certificate-paths=/etc/ssl:/usr/share/ssl:/opt/ssl
# 条件配置
skip-test=SSH-7408
skip-test=FILE-7524:permissions
核心自定义配置选项
1. 测试控制配置
| 配置选项 | 说明 | 示例值 |
|---|---|---|
skip-test | 跳过特定测试 | skip-test=SSH-7408 |
skip-plugins | 是否跳过插件 | skip-plugins=yes |
test-scan-mode | 扫描深度 | light/normal/full |
pause-between-tests | 测试间暂停时间 | 1（秒） |
2. 输出与报告配置
# 启用彩色输出
colors=yes
# 显示解决方案建议
show-report-solution=yes
# 详细模式输出
verbose=no
# 快速模式（不等待按键）
quick=yes
3. 系统角色配置
# 定义系统角色
machine-role=server
# 可用值：personal, workstation, server
自定义安全检测规则开发
创建自定义测试文件
基于模板创建tests_custom文件：
cp include/tests_custom.template include/tests_custom
chmod 600 include/tests_custom
自定义测试开发示例
#!/bin/sh
#################################################################################
#
# Test : CUST-0010
# Description : 检查关键配置文件权限
Register --test-no CUST-0010 --weight M --network NO --category security --description "检查关键配置文件权限"
if [ ${SKIPTEST} -eq 0 ]; then
FOUNDPROBLEM=0
# 定义需要检查的文件列表
CRITICAL_FILES="/etc/passwd /etc/group /etc/sudoers"
for FILE in ${CRITICAL_FILES}; do
if FileExists "${FILE}"; then
PERMS=$(GetFilePerms "${FILE}")
OWNER=$(GetFileOwner "${FILE}")
# 检查权限是否符合安全要求
case "${FILE}" in
"/etc/passwd"|"/etc/group")
if [ "${PERMS}" != "644" ] || [ "${OWNER}" != "root" ]; then
FOUNDPROBLEM=1
ReportWarning "${TEST_NO}" "文件权限不安全: ${FILE}" "当前权限: ${PERMS}, 所有者: ${OWNER}" "text:chmod 644 ${FILE} && chown root:root ${FILE}"
fi
;;
esac
fi
done
if [ ${FOUNDPROBLEM} -eq 0 ]; then
Display --indent 2 --text "- 关键文件权限检查..." --result "${STATUS_OK}" --color GREEN
else
Display --indent 2 --text "- 关键文件权限检查..." --result "${STATUS_WARNING}" --color RED
fi
fi
#
#################################################################################
文件权限检查配置
在custom.prf中定义文件权限检查规则：
# 文件权限检查配置
permfile=/etc/passwd:644:root:root:WARN:
permfile=/etc/group:644:root:root:WARN:
permfile=/etc/sudoers:440:root:root:WARN:
# 目录权限检查
permdir=/etc/cron.d:700:root:root:WARN:
permdir=/root/.ssh:700:root:root:WARN:
自定义插件开发
插件模板结构
#!/bin/sh
# 必需插件元数据
PLUGIN_AUTHOR=your_name<email@example.com>
PLUGIN_CATEGORY=security
PLUGIN_DESC="自定义安全审计插件"
PLUGIN_NAME=custom_security_audit
PLUGIN_REQUIRED_TESTS=
#########################################################################
#
InsertSection "自定义安全审计插件"
#
#################################################################################
#
# Test : CUS-0001
# Description : 自定义容器安全检查
Register --test-no CUS-0001 --weight H --network NO --description "Docker容器安全配置检查"
if [ ${SKIPTEST} -eq 0 ]; then
# 检查Docker是否运行
if IsRunning "docker"; then
# 检查容器安全配置
DOCKER_INFO=$(docker info 2>/dev/null | grep -E "Security Options|UserNS")
if echo "${DOCKER_INFO}" | grep -q "userns"; then
Display --indent 2 --text "- User Namespace已启用" --result "${STATUS_OK}" --color GREEN
else
ReportSuggestion "${TEST_NO}" "启用User Namespace隔离" "docker" "text:在docker daemon.json中配置userns-remap"
fi
else
Display --indent 2 --text "- Docker未运行" --result "${STATUS_INFO}" --color BLUE
fi
fi
#
#################################################################################
高级配置技巧
1. 系统内核参数检查
# 内核安全参数配置检查
config-data=sysctl;kernel.randomize_va_space;2;1;启用ASLR内存地址随机化;sysctl -a;url:https://kernel.org/doc/Documentation/sysctl/kernel.txt;category:security;
config-data=sysctl;kernel.dmesg_restrict;1;1;限制dmesg命令使用;sysctl -a;url:https://kernel.org/doc/Documentation/sysctl/kernel.txt;category:security;
config-data=sysctl;net.ipv4.tcp_syncookies;1;1;启用SYN cookies防护;sysctl -a;url:https://kernel.org/doc/Documentation/sysctl/net/ipv4.txt;category:security;
2. 合规性检查配置
# PCI DSS合规性检查
compliance-standards=cis,hipaa,iso27001,pci-dss
# 自定义合规标准
custom-compliance-standard=my-company-policy
3. 网络和安全配置
# 网络相关配置
ntpd-role=client
# SSL证书路径配置
ssl-certificate-paths=/etc/ssl:/usr/share/ssl:/opt/ssl:/etc/pki
ssl-certificate-paths-to-ignore=/etc/letsencrypt/archive
实战案例：企业级安全审计配置
案例背景
某金融企业需要符合PCI DSS标准的服务器安全审计配置。
自定义配置方案
# custom.prf 配置
profile-name=PCI-DSS-Compliance-Audit
machine-role=server
test-scan-mode=full
# PCI DSS特定配置
compliance-standards=pci-dss
skip-test=FILE-7524
skip-test=SSH-7408
# 文件权限检查
permfile=/etc/passwd:644:root:root:WARN:
permfile=/etc/group:644:root:root:WARN:
permfile=/var/log/auth.log:640:root:adm:WARN:
# 内核安全参数
config-data=sysctl;net.ipv4.tcp_syncookies;1;1;SYN Flood防护;sysctl -a;category:security;
config-data=sysctl;kernel.randomize_va_space;2;1;ASLR内存保护;sysctl -a;category:security;
自定义测试脚本
# tests_custom - PCI DSS特定检查
# Test : CUST-0100
# Description : PCI DSS要求3.4 - 卡数据存储检查
Register --test-no CUST-0100 --weight H --network NO --category compliance --description "PCI DSS卡数据存储检查"
if [ ${SKIPTEST} -eq 0 ]; then
CARD_DATA_FOUND=0
# 检查常见卡数据存储位置
CHECK_PATHS="/tmp /var/tmp /home/* /opt"
for PATH in ${CHECK_PATHS}; do
if [ -d "${PATH}" ]; then
# 搜索可能的卡号模式
if find "${PATH}" -type f -exec grep -lE "[0-9]{13,16}" {} \; 2>/dev/null | head -5; then
CARD_DATA_FOUND=1
ReportWarning "${TEST_NO}" "发现可能的卡数据存储" "${PATH}" "text:立即调查并移除敏感数据"
fi
fi
done
if [ ${CARD_DATA_FOUND} -eq 0 ]; then
Display --indent 2 --text "- 卡数据存储检查..." --result "${STATUS_OK}" --color GREEN
else
Display --indent 2 --text "- 卡数据存储检查..." --result "${STATUS_WARNING}" --color RED
fi
fi
最佳实践与注意事项
1. 版本控制与备份
# 配置文件版本控制
git init
git add custom.prf include/tests_custom plugins/custom_plugin
git commit -m "初始自定义安全审计配置"
2. 测试验证流程
3. 性能优化建议
| 场景 | 优化策略 | 效果 |
|---|---|---|
| 大规模环境 | 调整pause-between-tests | 减少CPU峰值 |
| 网络受限 | 设置network=NO | 避免超时 |
| 快速扫描 | 使用test-scan-mode=light | 缩短扫描时间 |
4. 安全注意事项
- 自定义配置文件权限设置为600
- 定期审计自定义规则的有效性
- 避免在测试中执行破坏性操作
- 测试前进行备份
总结
通过Lynis的自定义配置功能，您可以构建高度定制化的安全审计体系。从基本的配置文件调整到复杂的自定义测试开发，Lynis提供了完整的扩展机制。掌握这些技巧后，您将能够：
- 精准适配：根据具体环境需求定制安全检查项
- 合规支持：满足各类合规标准要求（PCI DSS、ISO27001等）
- 持续改进：建立持续的安全监控和改进机制
- 自动化运维：集成到CI/CD流程中实现自动化安全审计
记住，有效的安全审计不仅是发现问题，更是建立持续改进的安全文化。通过Lynis的自定义功能，您可以将安全审计从被动的检查转变为主动的安全保障体系。
创作声明：本文部分内容由AI辅助生成（AIGC），仅供参考
