如何通过Lynis在Linux系统中全面评估内核层面的安全加固措施效果？

本文共计1155个文字，预计阅读时间需要5分钟。

Lynis对内核的检测不是默认开启的，使用--check-all将跳过大量sysctl和内核模块的检查。真正完成内核审查的是audit system命令——它会主动读取/proc/sys、/boot/config-$（uname -r）、/proc/config.gz，并调用lsmod和grep来检查CPU的安全特性（如nx、pae等）。如果仅执行lynis --check-all，fs.suid_dumpable和kernel.kptr_restrict这类关键项基本不会被评估。

实操建议：

• 始终使用 sudo lynis audit system，普通用户权限下无法读取 /proc/sys 和内核配置文件，会导致大量内核项标为 [skipped]
• 避免加 -Q（quiet 模式），它会隐藏“未检测到 kernel config file”这类关键提示，掩盖内核配置缺失问题
• 扫描前确认 /proc/config.gz 存在（常见于 CentOS/RHEL），或 /boot/config-$(uname -r) 可读；否则 Lynis 将无法判断内核是否编译了 CONFIG_SECURITY_YAMA 等加固选项

看懂内核相关 warning 和 suggestion 的真实含义

Lynis 报告里带 kernel. 或 fs. 前缀的条目（如 kernel.yama.ptrace_scope）不是“建议”，而是明确的合规判定：值不匹配即算风险。例如：

Warning: kernel.yama.ptrace_scope is set to '0' (current), should be '1' or higher —— 这表示当前允许任意进程 trace 其他进程，本地提权风险显著上升，不是“可选优化”，而是必须改。

常见易误读项：

• fs.suid_dumpable = 0：必须为 0，设成 2（即 dump suid 进程内存）反而引入信息泄露风险
• net.ipv4.tcp_syncookies = 1：仅在未启用 conntrack 或连接数极高时才真正生效；若已用 firewalld 或 iptables 启用 stateful 规则，此项实际影响有限
• kernel.kptr_restrict = 2：设为 1 仍会泄露部分内核地址（如 /proc/kallsyms 中的非函数符号），只有 2 才彻底屏蔽

扫描后如何快速定位并修复内核加固缺口

别直接改 /etc/sysctl.conf。Lynis 的修复建议是通用的，但不同发行版加载顺序和覆盖逻辑不同。CentOS 7/8、RHEL 8+、Ubuntu 22.04+ 对 sysctl.d/ 下文件的处理方式不一致，硬写进主配置可能被后续更新覆盖或冲突。

推荐做法：

• 新建 /etc/sysctl.d/99-lynis-kernel.conf，只写 Lynis 明确标出的未达标项（如 kernel.yama.ptrace_scope = 1），避免冗余配置
• 执行 sudo sysctl --system 重载全部 sysctl.d 配置，比 sysctl -p 更可靠（后者不读 /etc/sysctl.d/）
• 验证是否生效：sysctl kernel.yama.ptrace_scope，而非只看文件内容；某些项（如 kptr_restrict）需重启后才完全生效，但多数运行时即可应用
• 对内核模块风险（如 usb-storage、firewire-core），用 echo "install usb-storage /bin/true" >> /etc/modprobe.d/disable-usb.conf 禁用，比单纯 rmmod 更持久

为什么扫描报告里内核项总显示 “Not applicable” 或 “Skipped”

这通常不是工具问题，而是环境限制导致的检测失效。最常见原因：

• /proc/config.gz 不可读或不存在：Debian/Ubuntu 默认不打包内核配置，需手动安装 linux-image-$(uname -r)-dbg 或从 https://cdn.kernel.org 下载对应 config；否则 Lynis 无法判断内核是否支持 CONFIG_BPF_JIT 等安全特性
• 容器环境（如 Docker、LXC）：/proc/sys 是宿主机挂载的，audit system 会误判容器内核参数；此时应直接在宿主机扫描，而非容器内运行 Lynis
• SELinux enforcing 模式下，auditd 未运行：Lynis 依赖 auditctl -s 输出判断审计子系统状态，若 auditd 停止，所有 audit 相关内核项都会标为 skipped
• 内核版本过旧（如 3.10.0-1160 之前）：部分参数（如 vm.mmap_min_addr 的推荐值）在老内核中行为不同，Lynis 会跳过以避免误报

真正难搞的不是参数本身，而是内核配置文件缺失和容器上下文错位——这两个问题不解决，再调 sysctl 也得不到完整评估结果。