核心要点（TL;DR）

• Lynis 适合快速安全审计，OpenSCAP 专精合规检查。
• 两者结合可实现自动化漏洞扫描与合规验证。
• 使用 cron 定时任务即可完成周期性安全扫描。
• 根据扫描报告修复问题，可显著提升系统安全性。

为什么需要自动化漏洞扫描与合规检查？

作为运维或站长，您是否经常担心服务器存在未修复的漏洞，或无法满足等保、PCI DSS 等合规要求？手动检查既耗时又容易遗漏。本文将带您使用 Lynis 与 OpenSCAP 两款开源工具，实现自动化漏洞扫描与合规检查，快速发现系统弱点并生成合规报告，让安全运维事半功倍。

Lynis：轻量级安全审计利器

Lynis 是一款专为 Unix/Linux 系统设计的安全审计工具，能快速检测系统漏洞、配置错误和恶意软件迹象。它无需安装代理，直接运行即可。

安装 Lynis

在 CentOS/RHEL 上：

yum install epel-release -y
yum install lynis -y

在 Ubuntu/Debian 上：

apt update
apt install lynis -y

运行扫描

执行以下命令开始全面审计：

lynis audit system

扫描完成后，报告位于 /var/log/lynis.log 和 /var/log/lynis-report.dat。您会看到警告和建议，例如未设置密码策略、SSH 配置薄弱等。

解读报告

Lynis 报告分为多个部分，重点关注 Warnings 和 Suggestions。例如：

• Warning: 未启用防火墙
• Suggestion: 设置密码过期时间

根据建议逐项修复，可显著提升安全性。

OpenSCAP：合规检查标准工具

OpenSCAP 基于 SCAP 标准，可针对特定合规基线（如等保、PCI DSS）进行自动化检查，并生成详细报告。

安装 OpenSCAP

在 CentOS/RHEL 上：

yum install openscap-scanner scap-security-guide -y

在 Ubuntu/Debian 上：

apt install libopenscap8 openscap-scanner ssg-debderived -y

执行合规扫描

首先列出可用的 SCAP 内容文件：

ls /usr/share/xml/scap/ssg/content/

选择适合的基线文件，例如 ssg-centos7-ds.xml，然后运行：

oscap xccdf eval --profile xccdf_org.ssgproject.content_profile_pci-dss --report report.html /usr/share/xml/scap/ssg/content/ssg-centos7-ds.xml

扫描结束后，打开 report.html 查看合规结果，包括通过和失败的规则。

定制合规策略

您可以根据业务需求裁剪规则，使用 --tailoring-file 指定定制文件，避免不必要的检查。

自动化扫描与通知

手动执行扫描效率低，建议通过 cron 定时任务实现自动化。

编写扫描脚本

创建 /opt/security-scan.sh：

#!/bin/bash
# 运行 Lynis
lynis audit system --quiet --log-file /var/log/lynis-$(date +%F).log
# 运行 OpenSCAP
oscap xccdf eval --profile xccdf_org.ssgproject.content_profile_pci-dss --report /var/log/oscap-report-$(date +%F).html /usr/share/xml/scap/ssg/content/ssg-centos7-ds.xml
# 发送邮件通知（需配置 mailx）
mail -s "安全扫描报告 $(date +%F)" admin@example.com 

设置 cron 任务

编辑 crontab：

crontab -e

添加以下行，每天凌晨 2 点执行：

0 2 * * * /bin/bash /opt/security-scan.sh

检查清单与修复建议

根据扫描结果，优先处理以下高风险项：

对于合规检查，根据 OpenSCAP 报告逐项修复，确保符合基线要求。

行动建议

立即在测试环境部署 Lynis 和 OpenSCAP，执行首次扫描并分析报告。将修复任务纳入日常运维流程，并设置自动化扫描与告警。长期坚持，可大幅降低安全风险，轻松应对合规审计。若需更高级的防护，可考虑集成 AegisX 的威胁检测能力，实现主动防御。

常见问题（FAQ）

Lynis 和 OpenSCAP 有什么区别？

Lynis 是一款轻量级安全审计工具，侧重系统漏洞和配置弱点发现；OpenSCAP 则基于 SCAP 标准，专注于合规性检查，如等保、PCI DSS。两者互补，Lynis 快速全面，OpenSCAP 深度合规。

如何安装 Lynis？

在 CentOS/RHEL 上，可先安装 EPEL 源，然后执行 yum install lynis。在 Ubuntu/Debian 上，使用 apt install lynis。也可从官网下载源码编译安装。安装后运行 lynis --version 验证。

OpenSCAP 扫描需要哪些准备？

需要安装 openscap-scanner 和 scap-security-guide 包。根据合规要求选择对应的 SCAP 内容文件（如 ssg-centos7-ds.xml），然后使用 oscap xccdf eval 命令执行扫描。确保系统已更新。

如何自动化定期扫描？

可编写 shell 脚本调用 lynis audit system 和 oscap xccdf eval，然后通过 cron 设置每日或每周执行。将输出重定向到日志文件，并配置邮件通知，便于及时处理。

扫描报告中的建议都要修复吗？

并非所有建议都需立即修复。应优先处理高风险项，如未打补丁的漏洞、弱密码策略等。对于低风险或与业务冲突的项，可评估后接受风险。建议结合业务场景制定修复计划。