Rocky Linux安全工具

90次阅读

在 Rocky Linux 9 环境下，同时部署 Auditd、AIDE、Lynis 和 OpenSCAP 可以构建起一个互补、立体的“防御纵深”安全体系。它们在不同层级各司其职，不存在运行冲突。

🛠️ 方案总览与分工

工具名称	核心职责	运行频率	部署定位
Auditd	内核级底层行为审计	实时持续	监控谁在什么时候修改了敏感文件、执行了高危命令。
AIDE	文件完整性审计（防篡改）	每日定时	核对核心系统文件与二进制文件的哈希值是否被未知篡改。
Lynis	轻量级系统安全基线扫描	每周定时	快速全面体检，评估系统整体安全加固指数（Hardening Index）。
OpenSCAP	自动化合规与深度漏洞扫描	每季/重大变更	依照 CIS、DISA STIG 等国际/行业标准进行合规性打分并输出 HTML 报告。

📥 第一步：一键安装所有工具

在 Rocky Linux 9 中，这些工具大多已内置或存在于官方仓库中：

# 更新仓库并安装 AIDE, Lynis, OpenSCAP 及其安全策略指南
sudo dnf update -y
sudo dnf install -y aide lynis openscap-scanner scap-security-guide

# 确认 Auditd 已安装（Rocky 9 默认内置）
sudo dnf install -y audit

⚙️ 第二步：配置与运行规范

1. Auditd（内核级实时监控）

启动服务：
```
sudo systemctl enable --now auditd
```

常用审计命令：

# 搜索关于 /etc/passwd 的所有变更日志
sudo ausearch -f /etc/passwd

# 生成今日系统安全事件汇总报告
sudo aureport --summary -ts today

2. AIDE（每日防篡改巡检）

首次部署（初始化数据库）：

# 初始化生成快照数据库（在 /var/lib/aide/aide.db.new.gz）
sudo aide --init

# 将其重命名为正式生效的数据库
sudo mv /var/lib/aide/aide.db.new.gz /var/lib/aide/aide.db.gz

日常检查命令：
```
sudo aide --check
```

3. Lynis（每周自动化配置审计）

手动运行全盘扫描：
```
sudo lynis audit system
```
查看扫描结果：
- 报告摘要与建议路径：/var/log/lynis-report.dat
- 详细日志路径：/var/log/lynis.log

4. OpenSCAP（季度合规性深度扫描）

基于 Rocky 9 CIS Benchmark Level 1 标准进行扫描并生成网页报告：

oscap xccdf eval \
  --profile xccdf_org.ssgproject.content_profile_cis \
  --report /var/www/html/scap-report.html \
  /usr/share/xml/scap/ssg/content/ssg-rl9-ds.xml

⏰ 第三步：自动化运维（Cron 定时任务配置）

建议通过 crontab 将 AIDE 和 Lynis 固化为自动任务。执行 sudo crontab -e 并添加以下内容：

# 每天凌晨 3:00 自动执行 AIDE 文件完整性检查，并将结果记录到专用日志中
0 3 * * * /usr/sbin/aide --check > /var/log/aide/cron_check.log 2>&1

# 每周日凌晨 4:00 自动运行 Lynis 审计（非交互模式），不占用终端屏幕
0 4 * * 0 /usr/bin/lynis audit system --quick --cronjob

⚠️ 联合部署的核心注意事项

AIDE 数据库更新时机： 当你根据 OpenSCAP 或 Lynis 的建议修改了系统配置文件（如 /etc/ssh/sshd_config），或者执行了 dnf update 升级了软件包后，必须立刻更新 AIDE 数据库。

更新命令：

# 1. 重新计算当前系统哈希
sudo aide --update
# 2. 覆盖老数据库，防止后续误报
sudo mv /var/lib/aide/aide.db.new.gz /var/lib/aide/aide.db.gz

正文完

0

wordpress主题puock