Chuyển tới nội dung chính

Kiểm Tra Bảo Mật Hệ Thống với Lynis

Giới Thiệu​

Trong thế giới công nghệ ngày càng phức tạp, việc đảm bảo an ninh cho hệ thống là ưu tiên hàng đầu. Lynis là một công cụ quét bảo mật mạnh mẽ, mã nguồn mở, giúp bạn kiểm tra và củng cố hệ thống Linux/Unix. Nó thực hiện kiểm tra chuyên sâu để phát hiện các lỗ hổng, cấu hình sai, phần mềm lỗi thời và đưa ra các đề xuất cải thiện an ninh. Bằng cách sử dụng Lynis, bạn có thể chủ động tìm kiếm và khắc phục các điểm yếu, từ đó nâng cao mức độ bảo mật tổng thể của hệ thống.

📋 Thời gian: 20 phút | Độ khó: Cơ bản

Yêu Cầu​

Để thực hiện quét bảo mật với Lynis, bạn cần:

  • Một hệ thống chạy Linux hoặc Unix (ví dụ: Ubuntu, Debian, CentOS, RHEL, Fedora, macOS).
  • Quyền truy cập sudo hoặc root để cài đặt Lynis và thực hiện quét hệ thống.
  • Kết nối Internet (để tải xuống và cài đặt Lynis nếu chưa có).
  • Một terminal hoặc shell để nhập các lệnh.

Các Bước Thực Hiện​

Bước 1: Cài đặt Lynis​

Lynis có thể được cài đặt thông qua trình quản lý gói của hệ thống hoặc bằng cách tải xuống trực tiếp từ kho mã nguồn. Cách phổ biến và dễ nhất là sử dụng trình quản lý gói.

Trên Debian/Ubuntu:

# Cập nhật danh sách gói
sudo apt update

# Cài đặt Lynis
sudo apt install lynis

Trên CentOS/RHEL/Fedora:

# Cài đặt kho EPEL (nếu chưa có)
sudo yum install epel-release # Đối với CentOS/RHEL 7 trở xuống
sudo dnf install epel-release # Đối với CentOS/RHEL 8 trở lên và Fedora

# Cài đặt Lynis
sudo yum install lynis # Đối với CentOS/RHEL 7 trở xuống
sudo dnf install lynis # Đối với CentOS/RHEL 8 trở lên và Fedora

Kiểm tra phiên bản Lynis (tùy chọn): Sau khi cài đặt, bạn có thể kiểm tra xem Lynis đã được cài đặt thành công và phiên bản của nó:

lynis --version

✅ Nếu bạn thấy thông tin phiên bản, Lynis đã sẵn sàng để sử dụng.

Bước 2: Thực hiện quét bảo mật cơ bản​

Sau khi cài đặt, bạn có thể bắt đầu quét hệ thống của mình. Việc quét hệ thống đòi hỏi quyền root hoặc sudo để Lynis có thể truy cập đầy đủ các tệp cấu hình và nhật ký quan trọng.

# Thực hiện quét hệ thống toàn diện
sudo lynis audit system

Lệnh này sẽ khởi động quá trình quét. Lynis sẽ hiển thị tiến trình quét trên terminal, bao gồm các kiểm tra đang được thực hiện và kết quả sơ bộ. Quá trình này có thể mất vài phút tùy thuộc vào hiệu suất của hệ thống và số lượng kiểm tra.

💡 Tip: Để có một cái nhìn tổng quan nhanh chóng mà không cần đợi quá lâu, bạn có thể sử dụng tùy chọn --quick:

sudo lynis audit system --quick

Tuy nhiên, quét toàn diện (audit system) luôn được khuyến nghị để có kết quả chi tiết nhất.

Bước 3: Phân tích kết quả quét​

Sau khi quá trình quét hoàn tất, Lynis sẽ hiển thị một bản tóm tắt các kết quả trực tiếp trên terminal. Nó bao gồm các cảnh báo (Warnings), đề xuất (Suggestions), và chỉ số bảo mật (Hardening Index).

Lynis cũng tạo ra các tệp nhật ký chi tiết:

  • /var/log/lynis-report.dat: Chứa tất cả các chi tiết của báo cáo ở định dạng có thể đọc được bằng máy.
  • /var/log/lynis.log: Chứa nhật ký của quá trình quét, bao gồm các thông báo gỡ lỗi.

Hãy tập trung vào phần "Warnings" và "Suggestions" trong bản tóm tắt trên terminal hoặc trong tệp /var/log/lynis-report.dat.

Ví dụ về kết quả đầu ra:

...
---------------------------------------------------
Lynis 3.x.x Results
---------------------------------------------------
Warnings (0)
Suggestions (15)
---------------------------------------------------
Hardening index : 75 / 100
...

Suggestions:
- Install a PAM module for password strength testing, like pam_cracklib or pam_passwdqc [AUTH-9286]
- Set a password for GRUB boot loader to prevent unauthorized boot alterations [BOOT-5122]
- Configure a firewall like iptables or ufw [FIRE-4512]
- Disable unused kernel modules [KRNL-5820]
...
  • Hardening Index: Đây là một chỉ số từ 0 đến 100, cho biết mức độ bảo mật hiện tại của hệ thống. Chỉ số càng cao càng tốt.
  • Warnings: Các vấn đề nghiêm trọng cần được xử lý ngay lập tức.
  • Suggestions: Các khuyến nghị để cải thiện bảo mật, nên được xem xét và áp dụng.
  • Mỗi mục đều có một mã ID (ví dụ: AUTH-9286) mà bạn có thể dùng để tìm kiếm thêm thông tin trên trang web của Lynis nếu cần.

Bước 4: Thực hiện hành động khắc phục​

Dựa trên các "Warnings" và "Suggestions" từ báo cáo của Lynis, bạn cần thực hiện các bước để khắc phục các lỗ hổng và cải thiện cấu hình.

Ví dụ về các hành động khắc phục:

  • Cài đặt mô-đun PAM: Nếu Lynis gợi ý "Install a PAM module for password strength testing", bạn có thể cài đặt libpam-cracklib (trên Debian/Ubuntu) và cấu hình nó. 
    # Cài đặt mô-đun
    sudo apt install libpam-cracklib1

    # Chỉnh sửa cấu hình PAM (ví dụ: /etc/pam.d/common-password)
    # Thêm dòng sau:
    # password    requisite     pam_cracklib.so retry=3 minlen=8 difok=3 reject_username dcredit=-1 ucredit=-1 ocredit=-1 lcredit=-1
  • Thiết lập mật khẩu GRUB: Nếu có cảnh báo về GRUB, bạn cần chỉnh sửa /etc/default/grub hoặc /boot/grub/grub.cfg để đặt mật khẩu.
  • Cấu hình tường lửa: Nếu Lynis gợi ý cấu hình tường lửa, bạn có thể cài đặt và cấu hình ufw hoặc iptables. 
    # Ví dụ với UFW (trên Debian/Ubuntu)
    sudo apt install ufw
    sudo ufw enable
    sudo ufw allow ssh
    sudo ufw status
  • Gỡ bỏ các gói không cần thiết: Lynis có thể chỉ ra các gói phần mềm không sử dụng. Hãy cân nhắc gỡ bỏ chúng để giảm bề mặt tấn công. 
    sudo apt autoremove # Gỡ bỏ các gói phụ thuộc không còn cần thiết

⚠️ Quan trọng: Luôn sao lưu các tệp cấu hình trước khi thực hiện thay đổi. Một số thay đổi có thể ảnh hưởng đến hoạt động của hệ thống. Nếu không chắc chắn về một đề xuất nào đó, hãy tìm hiểu kỹ hoặc tham khảo ý kiến chuyên gia.

Troubleshooting​

  • Lỗi: lynis: command not found

    • Nguyên nhân: Lynis chưa được cài đặt hoặc không có trong biến môi trường PATH.
    • Cách xử lý: Kiểm tra lại các bước cài đặt Lynis. Đảm bảo rằng bạn đã chạy lệnh cài đặt thành công. Nếu bạn cài đặt từ mã nguồn, hãy đảm bảo rằng thư mục chứa Lynis đã được thêm vào PATH hoặc bạn đang chạy nó từ đúng vị trí.
    # Thử tìm Lynis
    find / -name lynis 2>/dev/null
    # Nếu tìm thấy, thêm vào PATH hoặc chạy từ đường dẫn đầy đủ
    # export PATH=$PATH:/đường/dẫn/đến/lynis

  • Lỗi: Permission denied khi chạy sudo lynis audit system

    • Nguyên nhân: Tài khoản người dùng của bạn không có quyền sudo hoặc bạn đã nhập sai mật khẩu sudo.
    • Cách xử lý: Đảm bảo bạn đang sử dụng tài khoản có quyền sudo và nhập đúng mật khẩu. Nếu bạn không có quyền sudo, hãy liên hệ với quản trị viên hệ thống.

  • Quá trình quét mất quá nhiều thời gian

    • Nguyên nhân: Lynis thực hiện rất nhiều kiểm tra chi tiết, đặc biệt trên các hệ thống lớn hoặc có nhiều dịch vụ.
    • Cách xử lý: Đây là điều bình thường. Bạn có thể sử dụng từy chọn --quick để quét nhanh hơn, nhưng nó sẽ bỏ qua một số kiểm tra chuyên sâu. Đối với các bản quét định kỳ, hãy lên lịch vào thời điểm ít hoạt động của hệ thống.

  • Quá nhiều cảnh báo và đề xuất, không biết bắt đầu từ đâu

    • Nguyên nhân: Hệ thống của bạn có nhiều điểm yếu bảo mật hoặc cấu hình chưa tối ưu.
    • Cách xử lý:
      1. Tập trung vào các "Warnings" trước, vì chúng thường là các vấn đề nghiêm trọng hơn.
      2. Sau đó, xem xét các "Suggestions" có chỉ số tác động cao hoặc dễ thực hiện.
      3. Sử dụng tệp /var/log/lynis-report.dat để có cái nhìn tổng quan có cấu trúc và theo dõi tiến độ khắc phục.
      4. Khắc phục từng vấn đề một cách có hệ thống.

Kết Luận​

Lynis là một công cụ không thể thiếu trong bộ công cụ bảo mật của bất kỳ quản trị viên hệ thống nào. Nó cung cấp một cách toàn diện và hiệu quả để kiểm tra, đánh giá và củng cố an ninh cho hệ thống Linux/Unix. Bằng cách thực hiện quét Lynis định kỳ và hành động khắc phục dựa trên các đề xuất của nó, bạn có thể giảm thiểu đáng kể rủi ro bị tấn công và đảm bảo hệ thống của mình luôn tuân thủ các tiêu chuẩn bảo mật tốt nhất.

Best practices (Thực hành tốt nhất):

  • Quét định kỳ: Lên lịch chạy Lynis thường xuyên (ví dụ: hàng tuần hoặc hàng tháng) để phát hiện sớm các lỗ hổng mới hoặc cấu hình sai.
  • Xem xét báo cáo kỹ lưỡng: Đừng chỉ chạy Lynis và bỏ qua kết quả. Hãy dành thời gian đọc và hiểu từng cảnh báo, đề xuất.
  • Ưu tiên khắc phục: Tập trung vào các "Warnings" trước, sau đó là các "Suggestions" có tác động lớn đến bảo mật.
  • Kết hợp với các biện pháp khác: Lynis là một công cụ đánh giá, không phải là giải pháp bảo mật tất cả trong một. Hãy kết hợp nó với tường lửa, hệ thống phát hiện xâm nhập (IDS), nhật ký tập trung và các chính sách bảo mật mạnh mẽ khác.
  • Cập nhật Lynis: Luôn giữ Lynis ở phiên bản mới nhất để đảm bảo nó có thể phát hiện các mối đe dọa và lỗ hổng mới nhất.
  • Tài liệu hóa: Ghi lại các thay đổi bạn thực hiện để khắc phục các vấn đề, điều này sẽ hữu ích cho việc kiểm tra và quản lý trong tương lai.