lynis是开源轻量级linux安全审计工具，支持apt、github源码、rpm及手动部署四种安装方式，运行后生成含风险项与加固建议的报告。
如果您希望对Linux系统进行安全审计，Lynis是一款开源的、轻量级的安全扫描工具，可帮助识别配置弱点、合规性问题和潜在风险。以下是安装与运行Lynis的具体步骤：
一、通过APT包管理器安装（适用于Debian/Ubuntu系统）
APT是Debian系发行版的标准软件包管理工具，官方仓库中已收录Lynis，安装过程简单且依赖自动处理。
1、更新本地软件包索引列表：
sudo apt update
2、执行安装命令：
sudo apt install lynis
3、验证安装是否成功：
lynis --version
二、从GitHub源码编译安装（适用于所有主流Linux发行版）
该方式可获取最新开发版本，并绕过发行版仓库可能存在的版本滞后问题，无需额外编译依赖，Lynis为纯Shell脚本，直接可执行。
1、安装Git工具（若未安装）：
sudo apt install git（Debian/Ubuntu）或 sudo yum install git（CentOS/RHEL）
2、克隆官方仓库到本地临时目录：
git clone https://github.com/CISOfy/lynis.git
3、进入项目目录并赋予执行权限：
cd lynis && chmod +x lynis
4、运行扫描命令（无需安装）：
sudo ./lynis audit system
三、使用RPM包安装（适用于RHEL/CentOS/Fedora系统）
RPM包提供预构建的二进制分发形式，适合离线环境或需要统一部署策略的场景，安装后可全局调用。
1、下载最新RPM包（以CentOS 8为例）：
wget https://downloads.cisofy.com/lynis/lynis-3.1.2-1.noarch.rpm
2、校验软件包完整性（推荐）：
rpm --checksig lynis-3.1.2-1.noarch.rpm
3、安装RPM包：
sudo rpm -ivh lynis-3.1.2-1.noarch.rpm
4、确认命令可用：
which lynis
四、手动部署至自定义路径（适用于无root权限或容器环境）
当用户不具备系统级安装权限时，可将Lynis脚本复制至用户目录并直接运行，所有扫描数据默认保存在当前工作目录的lynis-report.dat中。
1、创建本地工具目录：
mkdir -p ~/tools/lynis
2、下载并解压官方tar.gz发布包：
wget https://downloads.cisofy.com/lynis/lynis-3.1.2.tar.gz && tar -xzf lynis-3.1.2.tar.gz -C ~/tools/lynis --strip-components=1
3、设置执行权限：
chmod +x ~/tools/lynis/lynis
4、运行基础系统审计：
~/tools/lynis/lynis audit system
五、首次运行后的关键操作
Lynis默认不自动修复问题，仅输出建议项编号（如“SSH-7408”）和详细说明，需人工判断处理优先级。报告末尾会列出最需关注的高风险项（Warnings）和建议项（Suggestions），其中标有 [HARDENING] 的条目表示可立即加固的操作。
1、生成带时间戳的完整报告文件：
sudo lynis audit system --write-report /tmp/lynis-report-$(date +%Y%m%d).txt
2、仅显示警告与建议摘要：
sudo lynis audit system --quick
3、查看特定测试项详情（例如SSH配置检查）：
sudo lynis show test SSH-7408
