Linux 漏洞掃描與安全稽核工具全景指南

前言

Linux 開源、穩定、低成本特性使其成為伺服器首選，但隨著普及率提升，也成為攻擊目標。漏洞掃描器分為主機型（本機檢測）與網路型（遠端掃描）兩大類。本文介紹經典與現代工具，助管理員建立纵深防禦。

一、主機型掃描工具（Host-based Scanners）

1. Lynis — 企業級稽核標準

現代首選，支援 Linux/Unix/macOS，涵蓋：

• 系統強化（kernel parameters、file permissions、boot settings）
• 服務配置（SSH、Web、Database、Mail）
• 軟體管理（套件更新、弱點資料庫比對）
• 合規標準（CIS、PCI-DSS、HIPAA、GDPR）

# 安裝
dnf install lynis        # RHEL/Fedora
apt install lynis        # Debian/Ubuntu
# 或下載最新版
git clone https://github.com/CISOfy/lynis

# 掃描
lynis audit system --quick           # 快速檢查
lynis audit system --profile custom  # 自訂配置
lynis show versions                  # 檢查更新

輸出含強化建議、風險評分、合規對照表，適合納入 CI/CD 與定期稽核。

2. OpenSCAP — 合規自動化

基於 SCAP（Security Content Automation Protocol）標準，使用 OVAL/XCCDF 內容：

dnf install openscap-scanner scap-security-guide
# 掃描 RHEL 8 CIS Benchmark
oscap xccdf eval --profile xccdf_org.ssgproject.content_profile_cis \
  --results results.xml --report report.html \
  /usr/share/xml/scap/ssg/content/ssg-rhel8-ds.xml

產出機器可讀結果與人類可讀 HTML 報告，支援 Ansible 整合（ansible-collection-redhat.rhel_system_roles）。

3. Tiger — 經典主機檢查

早期 TAMU Tiger 衍生版，檢查項目：

• 帳號安全（空密碼、sudo 設定、登入紀錄）
• 檔案系統（SUID/SGID、world-writable、異常 inode）
• 網路服務（inetd/xinetd、開放埠口、信任關係）
• 系統配置（cron、syslog、kernel 參數）

apt install tiger
tiger -H html -q  # 產出 HTML 報告

4. chkrootkit / rkhunter — Rootkit 掃描

dnf install chkrootkit rkhunter
chkrootkit                    # 快速掃描已知 rootkit 特徵
rkhunter --update
rkhunter --propupd            # 建立檔案屬性基準
rkhunter -c --sk              # 完整掃描（略過部分測試）

注意：誤報率較高，需人工複核。建議搭配 AIDE/Tripwire 檔案完整性監控。

5. AIDE / Tripwire — 檔案完整性監控 (FIM)

dnf install aide
aide --init
mv /var/lib/aide/aide.db.new.gz /var/lib/aide/aide.db.gz
# 定期檢查
aide --check

建立資料庫基準，偵測二進位檔、配置檔、關鍵目錄異動。整合 systemd timer 定期執行並郵件通報。

6. systemd-analyze / systemd-cgtop — 服務與資源異常偵測

systemd-analyze security        # 服務安全等級評估
systemd-analyze verify *.service # 單元檔語法檢查
systemd-cgtop                   # 即時 cgroup 資源佔用

二、網路型掃描工具（Network Scanners）

1. Nmap — 網路探索瑞士刀

# 基本掃描
nmap -sS -T4 192.168.1.0/24           # SYN 掃描
nmap -sV -O 192.168.1.100             # 服務版本 + OS 指紋
nmap --script vuln 192.168.1.100      # NSE 漏洞腳本掃描
nmap -p- --min-rate 1000 10.0.0.1     # 全埠口快速掃描

NSE 腳本庫（/usr/share/nmap/scripts）涵蓋 CVE 檢測、惡意軟體偵測、配置錯誤識別。

2. OpenVAS / Greenbone — 開源漏洞管理平台

架構：gvmd（管理）、openvas-scanner（掃描）、gsad（Web UI）。支援 NVT（Network Vulnerability Tests）每日更新，涵蓋 10 萬+ 漏洞特徵。

# Docker 快速部署
docker run -d -p 9392:9392 --name openvas mikesplain/openvas

企業級功能：排程掃描、資產管理、風險評分、報表匯出、API 整合。

3. Nessus (Tenable) — 商業標竿

免費版限 16 IP，專業版支援：

• 憑證式掃描（SSH/WinRM 登入深度檢查）
• 合規模板（CIS、DISA STIG、PCI DSS）
• 即時威脅情報整合
• 容器鏡像掃描、IaS 掃描

4. ZAP (OWASP) / Nikto — Web 應用掃描

# ZAP 基線掃描
docker run -t owasp/zap2docker-stable zap-baseline.py -t https://target.com
# Nikto 靜態分析
nikto -h https://target.com -ssl

三、容器與雲原生安全掃描

1. Trivy — 統一掃描器

trivy image ubuntu:22.04           # 容器鏡像漏洞
trivy fs /path/to/project          # 檔案系統/程式碼
trivy k8s cluster                  # Kubernetes 叢集配置
trivy config --policy /policy.rego . # 自訂 Rego 策略

支援 OS 套件、語言套件、IaC (Terraform/Kubernetes/Dockerfile)、Secret 洩漏。

2. Grype / Syft — SBOM 與漏洞對應

syft packages dir:/path -o json > sbom.json
grype sbom:sbom.json

3. kube-bench / kube-hunter — Kubernetes 安全

kube-bench run --targets master,node,etcd,policies
kube-hunter --remote 

四、建構持續安全管道

1. 開發階段：IDE 整合（SonarLint）、pre-commit hook（trivy、gitleaks）
2. CI/CD：Pipeline 整合 Trivy/Gosec/Hadolint/Checkov
3. 映像庫：Harbor/Quay 掃描阻擋高危鏡像部署
4. 運行時：Falco 行為偵測、eBPF 核心級可觀測
5. 定期稽核：Lynis/OpenSCAP 月度掃描、OpenVAS 季度深度掃描

五、工具選型建議矩陣

六、最佳實踐原則

• 授權先行：掃描前取得書面授權，避免法律風險
• 分級掃描：非侵入式 → 憑證式 → 滲透測試，逐步深入
• 基準管理：建立黃金映像、配置基線，偵測偏移
• 誤報處理：建立白名單機制，避免警報疲勞
• 知識庫更新：自動化 CVE/NVT/政策庫同步
• 修補驗證：掃描 → 修補 → 重掃 → 關閉迴路

安全非一次性專案，而是持續流程。工具僅是放大鏡，關鍵在於流程制度化、責任明確化、知識沉澱化。