Masquer les derniers auteurs
| author | version | line-number | content |
|---|---|---|---|
 |
1.1 | 1 | Audit de sécurité local, lancé chaque nuit sur les deux machines. Édition libre de Lynis, par CISOfy. |
| 2 | |||
| 3 | == Installation == | ||
| 4 | |||
| 5 | {{code language="bash"}} | ||
| 6 | sudo apt install lynis | ||
| 7 | {{/code}} | ||
| 8 | |||
| 9 | |=Élément|=Valeur | ||
| 10 | |Version (paquet Debian)|3.1.4 | ||
| 11 | |Binaire|##/usr/sbin/lynis## (hors du PATH d'un utilisateur : lancer avec ##sudo##) | ||
| 12 | |Tests et greffons|##/usr/share/lynis/## | ||
| 13 | |Profil par défaut|##/etc/lynis/default.prf## | ||
| 14 | |Profil personnalisé|##/etc/lynis/custom.prf## (prioritaire, non écrasé par les mises à jour) | ||
| 15 | |||
| 16 | Version du projet, plus récente que celle de Debian, sans installation : | ||
| 17 | |||
| 18 | {{code language="bash"}} | ||
| 19 | git clone https://github.com/CISOfy/lynis | ||
| 20 | cd lynis && sudo ./lynis audit system | ||
| 21 | {{/code}} | ||
| 22 | |||
| 23 | == Lancement automatique == | ||
| 24 | |||
| 25 | Timer systemd fourni par le paquet, une fois par jour peu après minuit : | ||
| 26 | |||
| 27 | {{code}} | ||
| 28 | lynis.timer → lynis.service → /usr/sbin/lynis audit system --cronjob | ||
| 29 | {{/code}} | ||
| 30 | |||
| 31 | {{code language="bash"}} | ||
| 32 | systemctl list-timers lynis.timer | ||
| 33 | systemctl cat lynis.service | ||
| 34 | {{/code}} | ||
| 35 | |||
| 36 | ##--cronjob## : sans couleurs, sans pauses, sans interaction. | ||
| 37 | |||
| 38 | == Commandes == | ||
| 39 | |||
| 40 | |=Commande|=Effet | ||
| 41 | |##lynis audit system##|Audit complet de la machine | ||
| 42 | |##lynis audit system --quick##|Sans pause entre les sections | ||
| 43 | |##lynis audit system --tests "SSH-7408 AUTH-9262"##|Seulement les tests indiqués | ||
| 44 | |##lynis audit system --tests-from-group ssh##|Seulement un groupe de tests | ||
| 45 | |##lynis audit system --pentest##|Audit sans droits root (moins de tests) | ||
| 46 | |##lynis audit dockerfile <FICHIER>##|Analyse d'un Dockerfile | ||
| 47 | |##lynis audit system remote <HOTE>##|Affiche la marche à suivre pour auditer une autre machine | ||
| 48 | |##lynis show details <ID_TEST>##|Explication et résultat d'un test | ||
| 49 | |##lynis show groups##|Groupes de tests (ssh, kernel, firewalls, webservers…) | ||
| 50 | |##lynis show tests##|Liste de tous les tests | ||
| 51 | |##lynis show profiles##|Profils chargés | ||
| 52 | |##lynis show settings##|Réglages en vigueur | ||
| 53 | |##lynis update info##|Vérifier si une version plus récente existe | ||
| 54 | |||
| 55 | == Résultats == | ||
| 56 | |||
| 57 | |=Fichier|=Contenu | ||
| 58 | |##/var/log/lynis-report.dat##|Rapport au format ##clé=valeur## | ||
| 59 | |##/var/log/lynis.log##|Déroulé détaillé de chaque test | ||
| 60 | |||
| 61 | Clés utiles du rapport : | ||
| 62 | |||
| 63 | |=Clé|=Contenu | ||
| 64 | |##hardening_index##|Indice de durcissement, sur 100 | ||
| 65 | |##warning[]##|Avertissements | ||
| 66 | |##suggestion[]##|Suggestions de durcissement | ||
| 67 | |##vulnerable_packages_found##|Paquets avec des vulnérabilités connues (1 si oui) | ||
| 68 | |##firewall_active##|Pare-feu détecté (1 si oui) | ||
| 69 | |##lynis_version##|Version utilisée | ||
| 70 | |##report_datetime_start##, ##report_datetime_end##|Début et fin de l'audit | ||
| 71 | |||
| 72 | Format d'un avertissement ou d'une suggestion : ##ID_TEST|message|détail|solution|## | ||
| 73 | |||
| 74 | {{code language="bash"}} | ||
| 75 | sudo grep -E '^(hardening_index|report_datetime_end)=' /var/log/lynis-report.dat | ||
| 76 | sudo grep '^warning\[\]=' /var/log/lynis-report.dat | cut -d'=' -f2 | ||
| 77 | sudo grep '^suggestion\[\]=' /var/log/lynis-report.dat | cut -d'=' -f2 | ||
| 78 | {{/code}} | ||
| 79 | |||
| 80 | Indice de durcissement en septembre 2026 : 64 (serveur principal), 79 (Raspberry Pi). | ||
| 81 | |||
| 82 | == Profil personnalisé == | ||
| 83 | |||
| 84 | ##/etc/lynis/custom.prf## (non utilisé ici) : | ||
| 85 | |||
| 86 | {{code}} | ||
| 87 | # Ignorer un test | ||
| 88 | skip-test=<ID_TEST> | ||
| 89 | |||
| 90 | # Ignorer un seul point d'un test | ||
| 91 | skip-test=SSH-7408:PermitRootLogin | ||
| 92 | |||
| 93 | # Rôle de la machine : server, workstation ou personal | ||
| 94 | machine-role=server | ||
| 95 | |||
| 96 | # Sans couleurs, sans pauses | ||
| 97 | colors=no | ||
| 98 | quick=yes | ||
| 99 | {{/code}} | ||
| 100 | |||
| 101 | Un test ignoré ne compte plus dans l'indice de durcissement. | ||
| 102 | |||
| 103 | == Audit d'une autre machine == | ||
| 104 | |||
| 105 | L'édition libre n'audite pas à distance : Lynis doit s'exécuter sur la machine cible. | ||
| 106 | |||
| 107 | {{code language="bash"}} | ||
| 108 | scp -r lynis/ <UTILISATEUR>@<HOTE>:/tmp/ | ||
| 109 | ssh <UTILISATEUR>@<HOTE> 'cd /tmp/lynis && sudo ./lynis audit system --quick' | ||
| 110 | scp <UTILISATEUR>@<HOTE>:/var/log/lynis-report.dat rapport-<HOTE>.dat | ||
| 111 | {{/code}} | ||
| 112 | |||
| 113 | L'audit à distance centralisé fait partie de Lynis Enterprise. |