lynis 是什么
lynis 是一款在主机本机执行的审计工具，只读取系统配置与状态，输出一份带建议的基线检查报告，覆盖 SSH 配置、内核参数、文件权限、服务暴露与软件包状态等。它适合作为内网主机例行核查的起点：先看建议清单，再按业务实际情况取舍，最后把确认要改的项转成整改任务。
基本信息
| 工具 | lynis，本机只读审计 |
|---|---|
| 运行要求 | root 权限可覆盖全部检查项，普通用户会缺项 |
| 完整检查 | lynis audit system |
| 批量模式 | lynis audit system --quick 跳过交互 |
| 报告位置 | /var/log/lynis.log 与 /var/log/lynis-report.dat |
| 分组查看 | lynis show groups 列出检查分组 |
| 定位 | 主机基线初筛的输入，不是漏洞扫描器 |
建议项类别与处理方式
| 类别 | 示例 | 处理方式 |
|---|---|---|
| 认证与远程访问 | SSH 配置、口令策略 | 结合堡垒机与运维方案确认后再改 |
| 内核与网络参数 | 转发开关、SYN 保护 | 注意与业务和容器环境冲突 |
| 文件权限 | 关键文件属主与权限 | 影响面小，可直接整改 |
| 服务暴露 | 监听端口与多余服务 | 与资产台账核对后收敛 |
| 补丁与软件包 | 版本与更新状态 | 接入既有补丁流程 |
| 日志与审计 | 日志配置、审计守护进程 | 与集中日志平台联动 |
常用命令
常用命令
lynis audit system # 完整检查
lynis audit system --quick # 跳过交互，适合批量执行
lynis show groups # 查看检查分组
lynis show details AUTH-9262 # 查看单个检查项的细节
# 结果位置
/var/log/lynis.log /var/log/lynis-report.dat批量收集报告
批量收集报告
# 用配置管理工具分发执行，跑完回收报告
lynis audit system --quick --quiet
# 汇总阶段统一收取报告文件
for h in $(cat hosts.txt); do
scp "$h:/var/log/lynis-report.dat" "reports/$h.dat" # 仅限受控环境
done典型使用场景
- 新主机上线前的基线核查
- 季度主机巡检的固定动作
- 接管老系统时的配置摸底
- 整改优先级排序的输入材料
- 合规自查的准备材料
- 批量加固后复跑，对比前后差异
lynis 的建议是通用基线。在有特殊用途的机器上（构建机、堡垒机、数据库主机）需要裁剪，否则改动本身就会引入业务故障。
报告里包含主机配置细节与内部命名规则，应按内部信息处理，不要直接把报告原文或截图外发。