必须使用sudo lynis audit system而非--check-all，因后者跳过内核参数、sysctl及模块检查；audit system才读取/proc/sys、内核配置文件并检测cpu安全特性，确保完整内核审计。
内核安全参数扫描必须用 audit system 而非 --check-all
Lynis 对内核的检测不是默认开启的，--check-all 会跳过大量 sysctl 和内核模块检查项。真正触发完整内核审计的是 audit system 子命令——它会主动读取 /proc/sys、/boot/config-$(uname -r)、/proc/config.gz，并调用 lsmod 和 grep 检查 CPU 安全特性（如 nx、pae）。如果你只跑 lynis --check-all，fs.suid_dumpable、kernel.kptr_restrict 这类关键项根本不会被评估。
实操建议：
- 始终使用
sudo lynis audit system，普通用户权限下无法读取/proc/sys和内核配置文件，会导致大量内核项标为[skipped] - 避免加
-Q（quiet 模式），它会隐藏“未检测到 kernel config file”这类关键提示，掩盖内核配置缺失问题 - 扫描前确认
/proc/config.gz存在（常见于 CentOS/RHEL），或/boot/config-$(uname -r)可读；否则 Lynis 将无法判断内核是否编译了CONFIG_SECURITY_YAMA等加固选项
看懂内核相关 warning 和 suggestion 的真实含义
Lynis 报告里带 kernel. 或 fs. 前缀的条目（如 kernel.yama.ptrace_scope）不是“建议”，而是明确的合规判定：值不匹配即算风险。例如：
Warning: kernel.yama.ptrace_scope is set to '0' (current), should be '1' or higher —— 这表示当前允许任意进程 trace 其他进程，本地提权风险显著上升，不是“可选优化”，而是必须改。
常见易误读项：
Linux AI 服务器 — 将 Linux 服务器转换为本地 AI 推理集群。使用 systemd、NVIDIA CUDA 实现无头 Linux AI，零 GUI 开销。
-
fs.suid_dumpable = 0：必须为0，设成2（即 dump suid 进程内存）反而引入信息泄露风险 -
net.ipv4.tcp_syncookies = 1：仅在未启用 conntrack 或连接数极高时才真正生效；若已用firewalld或iptables启用 stateful 规则，此项实际影响有限 -
kernel.kptr_restrict = 2：设为1仍会泄露部分内核地址（如/proc/kallsyms中的非函数符号），只有2才彻底屏蔽
扫描后如何快速定位并修复内核加固缺口
别直接改 /etc/sysctl.conf。Lynis 的修复建议是通用的，但不同发行版加载顺序和覆盖逻辑不同。CentOS 7/8、RHEL 8+、Ubuntu 22.04+ 对 sysctl.d/ 下文件的处理方式不一致，硬写进主配置可能被后续更新覆盖或冲突。
推荐做法：
- 新建
/etc/sysctl.d/99-lynis-kernel.conf，只写 Lynis 明确标出的未达标项（如kernel.yama.ptrace_scope = 1），避免冗余配置 - 执行
sudo sysctl --system重载全部sysctl.d配置，比sysctl -p更可靠（后者不读/etc/sysctl.d/） - 验证是否生效：
sysctl kernel.yama.ptrace_scope，而非只看文件内容；某些项（如kptr_restrict）需重启后才完全生效，但多数运行时即可应用 - 对内核模块风险（如
usb-storage、firewire-core），用echo "install usb-storage /bin/true" >> /etc/modprobe.d/disable-usb.conf禁用，比单纯rmmod更持久
为什么扫描报告里内核项总显示 “Not applicable” 或 “Skipped”
这通常不是工具问题，而是环境限制导致的检测失效。最常见原因：
-
/proc/config.gz不可读或不存在：Debian/Ubuntu 默认不打包内核配置，需手动安装linux-image-$(uname -r)-dbg或从https://cdn.kernel.org下载对应 config；否则 Lynis 无法判断内核是否支持CONFIG_BPF_JIT等安全特性 - 容器环境（如 Docker、LXC）：/proc/sys 是宿主机挂载的，
audit system会误判容器内核参数；此时应直接在宿主机扫描，而非容器内运行 Lynis - SELinux enforcing 模式下，
auditd未运行：Lynis 依赖auditctl -s输出判断审计子系统状态，若auditd停止，所有 audit 相关内核项都会标为 skipped - 内核版本过旧（如
3.10.0-1160之前）：部分参数（如vm.mmap_min_addr的推荐值）在老内核中行为不同，Lynis 会跳过以避免误报
真正难搞的不是参数本身，而是内核配置文件缺失和容器上下文错位——这两个问题不解决，再调 sysctl 也得不到完整评估结果。
