L

ynis jest narzędziem typu open source przeznaczonym do przeprowadzania automatycznych audytów bezpieczeństwa i hartowania systemów pochodzących z rodziny *nix. Prosty w obsłudze, dostępny za darmo, nie wymaga instalacji, i jak zapewniają autorzy działa na prawie każdym systemie opartym o Unix (został przetestowany na współczesnych platformach w tym dystrybucjach Linuksa jak CentOS, Fedora, Debian itd.).

Program wystarczy ściągnąć ze strony firmy CISOfy i uruchomić. Wykona on setki indywidualnych testów w celu określenia stanu bezpieczeństwa naszego systemu. Wiele z tych prób jest wspólną częścią wytycznych i przyjętych standardów bezpieczeństwa. Przykładem może być poszukiwanie zainstalowanego oprogramowania i próby określenia jego ewentualnych błędów konfiguracyjnych (testowane są poszczególne składniki oprogramowania i sprawdzane powiązane pliki konfiguracyjne). Przykładowe uruchomienie programu:

root@darkstar:~/lynis# ./lynis --auditor "Patryk Krawaczyński" --check-all

[+] Initializing program
------------------------------------
  - Detecting OS...                                           [ DONE ]
  - Clearing log file (/var/log/lynis.log)...                 [ DONE ]

  ---------------------------------------------------
  Program version:           1.6.4
  Operating system:          Linux
  Operating system name:     Ubuntu
  Operating system version:  12.04.5
  Kernel version:            3.13.0
  Hardware platform:         x86_64
  Hostname:                  darkstar
  Auditor:                   Patryk Krawaczyński
  Profile:                   ./default.prf
  Log file:                  /var/log/lynis.log
  Report file:               /var/log/lynis-report.dat
  Report version:            1.0
  Plugin directory:          ./plugins
  ---------------------------------------------------

[ Press [ENTER] to continue, or [CTRL]+C to stop ]

Każda sekcja testowania systemu wymaga potwierdzenia lub przerwania akcji od użytkownika chyba, że program zostanie uruchomiony z opcją pomijającą interakcję. Po zakończeniu działania programu otrzymany zbiorczy raport z bardziej lub mniej technicznie opisanymi wytycznymi i linkami http do Lynis Controls (gdzie znajdziemy powody sugestii do zmiany konfiguracji):

  Lynis Scanner (details):

  Hardening index : 67 [#############       ]
  Tests performed : 200
  Plugins enabled : 0

  Lynis Modules:
  - Heuristics Check [NA] - Security Audit [V] - Vulnerability Scan [V]

  Compliance Checks:
  - HIPAA [NA] - PCI [NA] - SOx [NA]

  Files:
  - Test and debug information      : /var/log/lynis.log
  - Report data                     : /var/log/lynis-report.dat

 Suggestions:
 ----------------------------

 - The version in BIND can be masked by defining 'version none' 
 in the configuration file [NAME-4210] http://cisofy.com/controls/NAME-4210/

Wszystkie testy i propozycje zmian zostaną zapisane do pliku raportu oraz dziennika. Autorzy programu sami zwracają uwagę, aby wyłączyć wszystkie testy, które nie są istotne lub zbyt restrykcyjne dla konkretnego serwera. Jest to lekka aluzja, aby ślepo nie słuchać automatu. Oczywiście każdy “check” powinien być odpowiednio przeanalizowany i sprawdzony, czy związane z nim ryzyko może być akceptowalne zanim zdecydujemy się na zignorowanie zmiany.

Dzisiaj firmy chcą być coraz bardziej zwinne (ang. agile) – wykorzystują technologię cloud, narzędzia do automatyzacji konfiguracji itd., a często zapominają o wdrożeniach odpowiednich automatów do hartowania systemów. Dużą zaletą korzystania z tego typu rozwiązań jest szybka i ciągła kontrola wszystkich punktów, które uznamy i zdefiniujemy jako ważne. Bezpieczeństwo nie jest produktem, ale procesem poprawiającym środowisko krok po kroku. Wiele przewodników i artykułów omawiających, jak “naprawić” luki w zabezpieczeniach jest bardzo ważnych i potrzebnych, ale jeśli ilość systemów zaczyna być skalą przez duże “S” to ich wszystkie zalecenia zamykane są w odpowiednie automaty lub tłumaczone na język menadżerów konfiguracji serwerów. Z pewnością Lynis jest jednym z nich, na który warto zwrócić na początku uwagę.

Więcej informacji: Lynis