Linux主机加固漂移审计

问题：加固基线在漂移，你却不知道

Linux 主机暴露 SSH 或进入生产之前，通常会有一套加固基线：SSH 配置、审计子系统、服务最小化、补丁状态等。问题在于，基线是静态的，系统是动态的。基础镜像更新、临时调试、包升级都可能悄悄偏离加固要求，而通用漏洞扫描（如 CVE 扫描）不会告诉你这些——它聚焦已知漏洞，不关心你的配置是否还符合策略。

结果是：你以为机器处于加固状态，实际已漂移。等审计或事故发生时才发现差距，代价远高于上线前的一轮检查。

这个技能做了什么

这个技能在主机上运行 Lynis，将安全审计输出转化为针对代理或操作员的优先级加固检查清单。核心流程：

• 运行主机审计：在目标 UNIX-like 主机上执行 Lynis，收集系统配置、服务、认证机制等多维度信息；
• 结果转化：不是丢给你一份原始报告，而是把审计结果整理为可执行的优先级清单，明确哪些加固项需要先处理；
• 聚焦漂移场景：专为「机器即将面向互联网」「基础镜像更改后」这类需要快速确认加固状态的场景设计，而非通用渗透测试。

适用边界与注意点

• 需要 Shell 访问权限：建议使用 root 或 sudo，以获得更全面的审计覆盖；无权限时审计结果会有盲区；
• 覆盖 Linux/BSD/macOS：Lynis 本身跨平台，但部分检查项针对不同发行版效果不同；
• 是漂移审计，不是漏洞扫描：它回答「我的系统还符合加固基线吗」，不替代 CVE/漏洞管理流程；
• 清单是起点：生成的加固检查清单供人或代理执行后续操作，技能本身不自动修复配置。