Un lynis audit sicurezza linux è un controllo automatizzato che analizza il sistema operativo, i servizi attivi e le configurazioni per individuare punti deboli e misconfigurazioni. Si esegue in pochi minuti e restituisce un punteggio di hardening con le azioni correttive da intraprendere subito.
| Comando | Scopo |
|—|—|
| sudo apt install lynis | Installa il tool su Ubuntu/Debian |
| sudo lynis audit system | Lancia la scansione completa |
| sudo lynis audit system --quick | Scansione veloce senza test lenti |
| sudo lynis show warnings | Elenca solo i problemi critici |
| sudo lynis show details KRNL-5820 | Mostra dettagli e soluzione per un test specifico |
Quando ho dovuto mettere in sicurezza 80 VM per un ente sanitario pubblico, il rischio più grande non erano le vulnerabilità zero-day. Erano le configurazioni lasciate di default. Il 65% delle violazioni sfrutta proprio le misconfigurazioni dell’infrastruttura, non flaw nel software (IBM Cost of a Data Breach 2025). Controllare manualmente SSH, firewall, permessi e kernel su ogni macchina richiede ore. Lynis trasforma questo processo in un’operazione ripetibile e veloce, fornendoti una metrica chiara: l’hardening index. In questa guida vediamo come installarlo, interpretare i risultati e risolvere i problemi più comuni.
Prerequisiti / Ambiente di test
Serve una macchina Linux con accesso root. Ho testato questa procedura su Ubuntu 22.04 e 24.04 LTS, ma Lynis supporta tutte le principali distribuzioni. Serve almeno 50 MB di spazio su disco per i log. Non richiede agent o demoni in background, esegue e chiude.
Installare Lynis
Lynis è presente nei repository ufficiali delle principali distribuzioni. Per installare Lynis su Ubuntu o Debian, il comando è diretto.
sudo apt install lynisVerifica l’installazione controllando la versione.
lynis show versionSe la versione nei repo non è aggiornata, puoi scaricare l’ultima release direttamente dal GitHub ufficiale o dal sito CISOfy. Per ambienti di produzione, la versione dei repository va bene per iniziare, ma tieni d’occhio gli aggiornamenti.
Prima scansione
Lancia il primo audit completo del sistema. Questo comando esegue oltre 300 test su base OS, kernel, servizi di rete, filesystem, autenticazione e firewall.
sudo lynis audit systemL’output scorre nel terminale mostrando i risultati in tempo reale. Alla fine vedrai un riepilogo con l’hardening index, un punteggio da 0 a 100 che indica il livello di sicurezza del server. Un punteggio sotto i 70 richiede intervento immediato.
Se hai poco tempo o vuoi escludere i test che richiedono più risorse, usa la modalità rapida.
sudo lynis audit system --quickLa scansione quick salta alcuni test approfonditi sul filesystem e sui log, ma ti dà un’istantanea dello stato di sicurezza in meno di due minuti.
Come leggere il report (WARNING, SUGGESTION, hardening index)
L’output di Lynis divide i risultati in tre categorie principali.
I WARNING indicano problemi di sicurezza critici. Richiedono azione immediata. Un esempio classico è l’assenza di un malware scanner o il permesso di login root via SSH.
Le SUGGESTION sono raccomandazioni per migliorare la configurazione. Non sono critiche, ma riducono la superficie di attacco. Per esempio, abilitare l’accounting dei processi o stringere i permessi di alcuni file.
L’hardening index è il punteggio finale. Non è un semplice voto. È un indicatore della tua esposizione al rischio. Le organizzazioni che monitorano e migliorano questo indice riducono il tempo di remediation del 40% dopo un incidente (Ponemon Institute 2025).
Per vedere solo i WARNING dopo una scansione, usa il comando dedicato.
sudo lynis show warningsLe 10 issue più comuni trovate da Lynis
Dopo aver lanciato centinaia di audit su server Linux, questi sono i problemi che trovo quasi sempre:
- Kernel non aggiornato o reboot in sospeso (KRNL-5820)
- Login root via SSH abilitato (SSH-7408)
- Firewall attivo ma senza policy restrittive (FIRE-4512)
- Nessun scanner malware installato (MALW-3280)
- Permessi troppo laschi su file sensibili come /etc/shadow (FILE-6410)
- Password aging non configurato (AUTH-9228)
- NTP non sincronizzato o non configurato (TIME-3120)
- Servizi di rete non necessari in ascolto (NETW-3200)
- Bootloader senza password (BOOT-5122)
- Nessun accounting per i processi utente (ACCT-9626)
Questi problemi creano la strada più breve per un attacco. Un attaccante prova l’accesso SSH con root, sfrutta un kernel vulnerabile per ottenere privilegi, o legge file sensibili se i permessi sono errati.
Risolvere i WARNING principali
Per ogni WARNING, Lynis ti fornisce un codice test univoco. Non devi indovinare la soluzione. Usa il comando show details seguito dal codice per avere la spiegazione del problema e la correzione suggerita.
sudo lynis show details KRNL-5820Questo comando ti mostra esattamente quale parametro è fuori norma, il rischio associato e il file di configurazione da modificare. Per il WARNING KRNL-5820, il problema è quasi sempre un kernel aggiornato che richiede il riavvio. La soluzione è pianificare un reboot.
Per il WARNING SSH-7408, Lynis suggerisce di impostare PermitRootLogin no nel file /etc/ssh/sshd_config e riavviare il servizio SSH. Dopo aver applicato le correzioni, rilancia l’audit per verificare che il WARNING sia scomparso e l’hardening index sia aumentato.
Automatizzare Lynis con cron + report via email
Controllare la sicurezza una volta all’anno non serve a nulla. Le configurazioni cambiano, i servizi vengono installati, le patch vengono applicate. Serve un monitoraggio continuo. Automatizza Lynis con cron.
0 3 * * 0 lynis audit system > /var/log/lynis_$(date +\%Y\%m\%d).logQuesta riga in crontab lancia una scansione completa ogni domenica alle 03:00 di notte. Salva l’output in un file datato nella cartella /var/log. Per ricevere il report via email, puoi concatenare un comando mail o usare un tool come mutt per inviare l’output direttamente alla tua casella di posta del SOC o del team IT.
Confrontare scansioni nel tempo
I log separati per data ti permettono di confrontare l’hardening index nel tempo. Se dopo un mese di lavoro l’indice è sceso da 82 a 74, sai che qualcuno ha introdotto misconfigurazioni. Usa un semplice script bash per estrarre l’indice dai log e tracciare l’andamento, oppure integra i log di Lynis nel tuo SIEM per avere alert automatici se il punteggio scende sotto una soglia critica.
Errori comuni e troubleshooting
L’errore più frequente è lanciare Lynis senza privilegi di root. Il tool funziona, ma salta oltre il 50% dei test che richiedono accesso a file di sistema protetti. Usa sempre sudo.
Un altro problema è la versione obsoleta nei repository. Se Lynis non rileva un test specifico che sai dovrebbe esserci, controlla la versione e aggiornala dal canale ufficiale se necessario.
Se l’output sembra bloccato su un test di rete, potrebbe essere un timeout dovuto a un firewall esterno. Usa il flag –quick per saltare i test di rete lenti o verifica le regole del firewall locale.
FAQ — Domande Frequenti
Lynis è gratuito e open source?
Sì, la versione community è completamente gratuita e open source. Esiste una versione enterprise a pagamento che offre plugin aggiuntivi e gestione centralizzata, ma per audit su singoli server la versione community è più che sufficiente.
Quanto impiega una scansione completa?
Dipende dall’hardware e dal numero di servizi attivi. Su un server con 4 vCPU e 8 GB di RAM, una scansione completa dura tra i 3 e i 5 minuti. La modalità –quick si conclude spesso in meno di 60 secondi.
Lynis modifica il mio sistema?
No. Lynis è un tool di sola lettura. Analizza le configurazioni, controlla i permessi e verifica i servizi senza apportare nessuna modifica al sistema. Sta a te applicare le correzioni suggerite nel report.
Come posso migliorare l’hardening index velocemente?
Concentrati sui WARNING prima delle SUGGESTION. Risolvere i problemi di accesso root SSH, aggiornare il kernel e stringere i permessi sui file sensibili ti fa guadagnare dai 10 ai 15 punti in poche ore di lavoro.
Devo installare Lynis su ogni server?
Sì, va installato su ogni macchina che vuoi testare. Non ha un’architettura client-server nella versione gratuita. Per ambienti con molti server, automatizza l’installazione e l’esecuzione via Ansible.
Conclusioni con takeaway operativi
Un server Linux lasciato alla configurazione di default è una porta aperta. Lynis ti dà la mappa per chiudere le falle. Non ti limita a segnalare il problema, ma ti fornisce il comando o il file esatto da modificare. I tre passaggi operativi da fare oggi: installa Lynis, lancia il primo audit e risolvi i WARNING. Pianifica l’automazione con cron per non perdere il controllo nei mesi successivi.
[Leggi anche: Hardening SSH su Linux: 10 Impostazioni Essenziali]
[Leggi anche: Fail2ban su Linux: Configurazione Completa e Sicurezza SSH]
[Leggi anche: UFW: Configurare il firewall su Ubuntu dalla A alla Z]
Per la documentazione ufficiale e l’elenco completo dei test, consulta il manuale su docs.lynis.com.
Aggiornato: Aprile 2026
