centos安全基线检查工具链自动化扫描与修复闭环

CentOS安全基线检查不是一次性的手动操作，而是一套从扫描、评估、修复到验证的完整自动化闭环。核心思路就是：用脚本和工具链把CIS Benchmark、等保2.0、国家安全标准里的几百条检查项全部自动化执行，发现问题自动修复或生成工单，修复后再扫一遍确认合规，形成"扫描-发现-修复-验证"的循环。这套东西落地到实际生产环境，通常需要Lynis、OpenSCAP、Ansible这几个核心工具配合，再加上自定义Shell脚本和Cron定时任务，就能把安全基线管理从"人肉运维"变成"机器自动跑"。

很多运维团队做安全检查还停留在"装个Lynis跑一下，看看分数"的阶段。分数高不代表真安全，分数低也不知道怎么修。真正的安全基线自动化要解决三个问题：第一，检查项要全，不能漏；第二，修复动作要可控，不能一键改崩系统；第三，结果要可追溯，审计的时候拿得出报告。下面我把这套工具链从头到尾拆开讲清楚。

CentOS 7和CentOS 8（包括Stream）是国内服务器市场占有率极高的操作系统。但默认安装状态下，这两个版本的安全配置远远不够。比如SSH允许root登录、防火墙规则宽松、日志审计缺失、内核参数没调优，这些都是常见的高危项。手动一条一条检查，一台机器可能要半天，几十台机器根本不现实。而且人会犯错，会遗漏，会忘记某个配置项。自动化的本质就是把"经验"变成"代码"，把"检查"变成"流程"，让机器替人干重复的活。

从合规角度看，等保2.0三级要求、CIS Benchmark Level 1/2、国家信息安全等级保护基本要求，都对操作系统安全基线有明确的量化指标。这些指标少则上百条，多则三百多条，全部靠人工根本做不到持续合规。自动化工具链的价值就在于：定期跑、持续跑、跑完有报告、有问题有修复、修复完再验证。

一套完整的CentOS安全基线自动化工具链，通常由以下几个模块组成：

1. 扫描引擎：Lynis是最常用的本地安全审计工具，支持CentOS 7/8，能检查200多项安全配置，输出详细报告。OpenSCAP是更专业的合规扫描工具，支持CIS、STIG、等保等多种标准模板，输出XML格式结果便于机器解析。两者可以互补使用，Lynis做快速全面扫描，OpenSCAP做精确合规检查。

2. 执行引擎：Ansible是最适合做批量安全加固的工具。它无Agent、基于SSH、幂等执行，非常适合对大量CentOS服务器做配置修改。也可以用Shell脚本直接在本地执行，适合单机场景。

3. 报告与展示：扫描结果需要结构化存储和可视化。可以用Python脚本解析Lynis/OpenSCAP的输出，生成HTML报告或者写入数据库。简单场景下，直接把报告发到企业微信、钉钉或者邮件就够用。

4. 调度与闭环：用Cron或者Jenkins定时触发扫描，扫描完成后自动触发修复流程，修复完成后自动再扫一次验证。这就是"闭环"的核心——不是扫完就完了，而是扫、修、验形成循环。

Lynis的安装非常简单，CentOS上直接从官网下载或者用包管理器装：

# CentOS 7
yum install epel-release -y
yum install lynis -y

# CentOS 8 / Stream
dnf install epel-release -y
dnf install lynis -y

装完之后直接运行：

lynis audit system

这个命令会扫描系统所有安全项，包括账户策略、认证配置、网络设置、内核参数、文件权限、日志审计、软件包管理等十几个大类。扫描完成后在/var/log/lynis-report.dat能看到详细结果。但默认输出是文本格式，不方便机器处理，所以通常会加上参数指定报告格式：

lynis audit system --report --report-file /tmp/lynis-report-$(date +%Y%m%d).txt

实际生产中我建议写一个封装脚本，把Lynis和OpenSCAP都跑一遍，然后合并结果：

#!/bin/bash
REPORT_DIR="/opt/security/reports"
DATE=$(date +%Y%m%d_%H%M%S)

# Lynis扫描
lynis audit system --quiet --report --report-file ${REPORT_DIR}/lynis_${DATE}.txt

# OpenSCAP扫描 (需要先安装scap-security-guide)
oscap xccdf eval --profile xccdf_org.ssgproject.content_profile_standard \
  --results ${REPORT_DIR}/openscap_${DATE}.xml \
  /usr/share/xml/scap/ssg/content/ssg-centos8-ds.xml

echo "扫描完成，报告已生成"

OpenSCAP是做等保和CIS合规检查的主力工具。CentOS 8上安装：

dnf install openscap-scanner scap-security-guide -y

安装完成后，先更新安全策略内容：

oscap xccdf eval --fetch-remote-resources ssg-centos8-ds.xml

然后执行扫描，选择对应的合规Profile。比如等保三级可以用标准Profile，CIS可以用对应的Profile：

# 标准合规扫描
oscap xccdf eval --profile xccdf_org.ssgproject.content_profile_standard \
  --results /tmp/scan-result.xml \
  /usr/share/xml/scap/ssg/content/ssg-centos8-ds.xml

# 生成HTML报告方便查看
oscap xccdf generate report /tmp/scan-result.xml --output /tmp/scan-report.html

OpenSCAP的优势在于它的结果是结构化XML，可以用Python的xml.etree或者专门的scap-workbench工具解析，提取出每一条不合规项的ID、描述、修复建议，然后自动生成修复任务。这是实现"扫描-修复"闭环的关键数据基础。

扫描发现问题之后，修复环节是最需要谨慎的。不能所有问题都一键修复，有些配置改了可能影响业务。所以我的建议是：把修复动作分级，高危项自动修复，中危项生成工单人工确认，低危项只记录不改。

下面是一个Ansible Playbook的核心片段，演示如何批量加固CentOS服务器的SSH、防火墙、账户策略：

---
- name: CentOS Security Baseline Hardening
  hosts: centos_servers
  become: yes
  vars:
    harden_ssh: true
    harden_firewall: true
    harden_accounts: true

  tasks:
    - name: 禁用SSH root登录
      lineinfile:
        path: /etc/ssh/sshd_config
        regexp: '^#?PermitRootLogin'
        line: 'PermitRootLogin no'
      when: harden_ssh
      notify: restart sshd

    - name: 设置SSH最大认证尝试次数
      lineinfile:
        path: /etc/ssh/sshd_config
        regexp: '^#?MaxAuthTries'
        line: 'MaxAuthTries 3'
      when: harden_ssh
      notify: restart sshd

    - name: 启用firewalld并限制SSH端口
      firewalld:
        service: ssh
        permanent: yes
        state: enabled
      when: harden_firewall

    - name: 设置密码策略 - 最小长度12位
      lineinfile:
        path: /etc/security/pwquality.conf
        regexp: '^minlen'
        line: 'minlen = 12'
      when: harden_accounts

    - name: 锁定超过30天未登录的账户
      lineinfile:
        path: /etc/default/useradd
        regexp: '^INACTIVE'
        line: 'INACTIVE=30'
      when: harden_accounts

    - name: 启用审计服务
      service:
        name: auditd
        enabled: yes
        state: started

  handlers:
    - name: restart sshd
      service:
        name: sshd
        state: restarted

这个Playbook只是示例，实际生产环境要根据扫描结果动态生成任务列表。比如OpenSCAP扫描出来某台机器的ID是xccdf_org.ssgproject.content_rule_accounts_password_minlen_14，那就自动触发对应的修复任务。这需要写一个中间层的Python脚本来做映射。

修复完成后必须再跑一遍扫描，确认所有问题都已解决。这一步很多团队会忽略，导致"修了但没验证"的情况。闭环的核心逻辑就是：

第一次扫描 → 生成问题清单 → 执行修复 → 第二次扫描 → 对比差异 → 确认合规 → 生成最终报告。

可以用一个简单的Shell脚本实现这个逻辑：

#!/bin/bash
SCAN_CMD="lynis audit system --quiet --report --report-file /tmp/scan_before.txt"
REPAIR_CMD="ansible-playbook -i inventory hardening.yml"
VERIFY_CMD="lynis audit system --quiet --report --report-file /tmp/scan_after.txt"

echo "=== 第一次扫描 ==="
$SCAN_CMD

echo "=== 执行修复 ==="
$REPAIR_CMD

echo "=== 验证扫描 ==="
$VERIFY_CMD

echo "=== 对比结果 ==="
diff /tmp/scan_before.txt /tmp/scan_after.txt | grep "^>" || echo "所有问题已修复"

在持续合规层面，建议用Cron每周跑一次全量扫描，每天跑一次快速扫描（只检查关键项）。扫描结果可以推送到监控平台，比如Zabbix或者自建的Dashboard，实时掌握整个集群的安全基线状态。如果某台机器的合规分数突然下降，说明有人手动改了配置没走流程，要立刻告警。

第一，不要在生产高峰期跑修复。Ansible批量执行配置修改虽然是幂等的，但重启SSHD、改防火墙规则这些操作还是有风险。建议在维护窗口执行，或者用Ansible的serial参数控制并发数，一次只改几台。

第二，修复前一定要备份关键配置文件。可以在Playbook开头加一个备份任务：

    - name: 备份SSH配置
      copy:
        src: /etc/ssh/sshd_config
        dest: /etc/ssh/sshd_config.bak.{{ ansible_date_time.iso8601 }}
        remote_src: yes

第三，不同版本的CentOS配置路径不一样。CentOS 7用firewalld，但有些老系统还在用iptables；CentOS 8的sshd_config里有些参数名称变了。Playbook里要做版本判断，不能一套脚本通吃所有版本。

第四，等保合规不只是技术问题，还有管理制度。自动化工具解决的是技术执行层面，但你还需要配套的审批流程、变更管理、定期审计制度。工具是手段，制度才是保障。

第五，建议把所有扫描报告和修复记录归档保存至少6个月。等保测评、安全审计的时候，这些都是必须提供的证据材料。可以写一个简单的归档脚本，把每次扫描的结果按日期打包存到NAS或者对象存储上。

CentOS安全基线自动化不是什么高深技术，核心就是把扫描工具、修复工具、调度系统串起来形成闭环。Lynis负责快速全面检查，OpenSCAP负责精确合规评估，Ansible负责批量修复，Cron负责定时触发，Python脚本负责结果解析和流程串联。这套组合拳打下来，几十台甚至几百台CentOS服务器的安全基线管理就能从"人盯人"变成"机器自动管"。关键是要落地执行，不要停留在"装了工具没跑起来"的阶段。先从一台机器试点，跑通流程，再逐步推广到整个集群，这是最稳妥的路径。