Linuxのセキュリティを向上させるためにLynisレポートを読む方法

GauravKamatheの記事を読んだときLynisでLinuxセキュリティをスキャンする 、米国労働省のシステム管理者としての時間を思い出しました。私の義務の1つは、Unixサーバーを強化しておくことでした。四半期ごとに、独立した検証者がサーバーのセキュリティステータスを確認するためにやって来ました。検証者が到着する予定の日に毎回、セキュリティ準備レビュー（SRR）を実行しました。これは、セキュリティの結果を特定して報告するために大量のスクリプトを使用するスキャンツールです。 SRRはオープンソースだったので、すべてのソーススクリプトとその機能を表示できました。これにより、コードを調べて、具体的に何が間違っているのかを判断し、見つかった各問題をすばやく修正することができました。

Lynisとは何ですか？

その他のLinuxリソース

• Linuxコマンドのチートシート
• 高度なLinuxコマンドのチートシート
• 無料のオンラインコース：RHELの技術概要
• Linuxネットワーキングのチートシート
• SELinuxチートシート
• Linuxの一般的なコマンドのチートシート
• Linuxコンテナとは何ですか？
• 最新のLinux記事

Lynisはオープンソースのセキュリティ監査ツールであり、Linuxシステムをスキャンし、見つかった弱点に関する詳細なレポートを提供することで、SRRのように機能します。また、SRRと同様に、スクリプトの大規模なセットで構成されており、各スクリプトは特定の項目（たとえば、パスワードの最小および最大の有効期間の要件）をチェックします。

Lynisを実行した後、そのレポートを使用して各アイテムのスクリプトを見つけ、Lynisが各問題をチェックして報告した方法を正確に知ることができます。同じスクリプトコードを使用して、解決を自動化するための新しいコードを作成することもできます。

Lynisレポートの読み方

Gauravの記事では、Lynisのインストールと使用法について説明しているため、この記事では、レポートを読んで使用する方法の例をいくつか示します。

開始するには、監査を実行します：

# lynis audit system --quick

完了すると、完全なレポートが画面に表示されます。下に向かって、提案 セクションには、システムをより適切に強化するためにトリアージする必要がある可能性のあるすべての項目と、それぞれのTEST-IDがリストされています。

システムを強化し、リストのサイズを小さくするには、各アイテムの追跡を開始します。 提案の説明 セクションは、実行するアクションを知るために必要なすべてのものである可能性があります。そうでない場合は、show detailsを使用できます コマンド：

# lynis show details TEST-ID

たとえば、私のシステムに関する提案の1つは次のとおりです。

locateに必要なデータベース 見つかりませんでした。 updatedbを実行します またはlocate.updatedb このファイルを作成します。 [ファイル-6410]

コマンドupdatedbを実行する必要があるようです 、ただし、確認したい場合は、Lynisのshow detailsを使用できます。 オプション：

# lynis show details FILE-6410

2020-06-16 20:54:33 Performing test ID FILE-6410 (Checking Locate database)

2020-06-16 20:54:33 Test: Checking locate database

2020-06-16 20:54:33 Result: file /var/lib/mlocate/mlocate.db not found

2020-06-16 20:54:33 Result: file /var/lib/locate/locatedb not found

2020-06-16 20:54:33 Result: file /var/lib/locatedb not found

2020-06-16 20:54:33 Result: file /var/lib/slocate/slocate.db not found

2020-06-16 20:54:33 Result: file /var/cache/locate/locatedb not found

2020-06-16 20:54:33 Result: file /var/db/locate.database not found

2020-06-16 20:54:33 Result: database not found

2020-06-16 20:54:33 Suggestion: The database required for 'locate' could not be found. Run 'updatedb' or 'locate.updatedb' to create this file. [test:FILE-6410] [details:-] [solution:-]

2020-06-16 20:54:33 ====

これらの詳細は、Lynisがさまざまなファイルを見つけることができなかったことを示しています。このケースは非常に明確です。 updatedbを実行できます コマンドを実行し、このテストを再確認します：

# updatedb

# lynis --tests FILE-6410

さらに、詳細を再確認すると、テストを満たしていることがわかったファイルが表示されます。

# lynis show details FILE-6410 

2020-06-16 21:38:40 Performing test ID FILE-6410 (Checking Locate database)

2020-06-16 21:38:40 Test: Checking locate database

2020-06-16 21:38:40 Result: locate database found (/var/lib/mlocate/mlocate.db)

2020-06-16 21:38:40 Result: file /var/lib/locate/locatedb not found

2020-06-16 21:38:40 Result: file /var/lib/locatedb not found

2020-06-16 21:38:40 Result: file /var/lib/slocate/slocate.db not found

2020-06-16 21:38:40 Result: file /var/cache/locate/locatedb not found

2020-06-16 21:38:40 Result: file /var/db/locate.database not found

2020-06-16 21:38:40 ====

* Consider hardening SSH configuration [SSH-7408] 

    - Details  : MaxAuthTries (6 --> 3)

      https://cisofy.com/lynis/controls/SSH-7408/

# rpm -ql lynis

# grep SSH-7408 /usr/share/lynis/include/*

/usr/share/lynis/include/tests_ssh:    # Test        : SSH-7408

# find /etc /etc/ssh /usr/local/etc/ssh /opt/csw/etc/ssh -name sshd_config

/etc/ssh/sshd_config

/etc/ssh/sshd_config

find: ‘/usr/local/etc/ssh’: No such file or directory

find: ‘/opt/csw/etc/ssh’: No such file or directory

# grep MaxAuthTries /etc/ssh/sshd_config

#MaxAuthTries 6

* Add a legal banner to /etc/issue, to warn unauthorized users [BANN-7126] 

      https://cisofy.com/lynis/controls/BANN-7126/



* Add legal banner to /etc/issue.net, to warn unauthorized users [BANN-7130] 

      https://cisofy.com/lynis/controls/BANN-7130/

# cat /etc/issue /etc/issue.net

\S

Kernel \r on an \m (\l)



\S

Kernel \r on an \m (\l)

# grep -E 'BANN-7126|BANN-7130' /usr/share/lynis/include/tests_banners

    # Test        : BANN-7126

    Register --test-no BANN-7126 --preqs-met ${PREQS_MET} --weight L --network NO --category security --description "Check issue banner file contents"

    # Test        : BANN-7130

    Register --test-no BANN-7130 --preqs-met ${PREQS_MET} --weight L --network NO --category security --description "Check issue.net banner file contents"

for ITEM in ${LEGAL_BANNER_STRINGS}; do

LEGAL_BANNER_STRINGS="audit access authori condition connect consent continu criminal enforce evidence forbidden intrusion law legal legislat log monitor owner penal policy policies privacy private prohibited record restricted secure subject system terms warning"

sed -i '/MaxAuthTries/s/#MaxAuthTries 6/MaxAuthTries 3/' /etc/ssh/sshd_config



echo "Legal Banner" | tee -a /etc/issue /etc/issue.net