Lynis是统信UOS系统上轻量开源的安全审计工具，支持APT安装或手动部署，可执行非侵入式基础扫描、生成HTML报告，并提供跳过测试、CIS合规 profile 及调试模式等定制化选项。
如果您希望在统信UOS系统上执行全面的系统安全审计，Lynis是一款轻量、开源且无需依赖复杂环境的安全扫描工具。以下是完成Lynis安装与基础审计扫描的完整操作流程：
一、通过APT源安装Lynis
统信UOS基于Debian系架构，官方软件源中已收录Lynis包，可直接使用apt命令安装，确保版本兼容且签名可信。
1、打开终端，执行更新命令以同步软件包列表：sudo apt update
2、运行安装命令：sudo apt install lynis
3、验证安装是否成功：lynis --version
二、手动下载并安装最新版Lynis
APT源中的Lynis版本可能滞后，若需使用GitHub主干最新功能（如新增检查项或修复），建议手动获取源码包部署，该方式绕过包管理器限制，支持离线部署。
1、进入临时目录：cd /tmp
2、下载最新稳定版压缩包（以当前最新发布版为例）：sudo wget https://downloads.cisofy.com/lynis/lynis-3.1.2.tar.gz
3、解压归档文件：sudo tar -xzf lynis-3.1.2.tar.gz
4、将lynis脚本复制至系统路径并赋予执行权限：sudo cp lynis/lynis /usr/local/bin/ && sudo chmod +x /usr/local/bin/lynis
三、执行基础安全审计扫描
Lynis默认以非侵入模式运行，仅读取系统配置、服务状态及日志元数据，不修改任何文件或启动新进程，适合生产环境日常巡检。
1、以普通用户身份启动扫描（推荐先试运行）：sudo lynis audit system
2、扫描过程中会逐项检测引导加载程序、账户认证机制、文件权限、防火墙策略等模块，并实时输出[OK]、[WARNING]或[SECURITY WARNING]标识。
3、扫描结束后，关键结果摘要将显示在终端末尾，包括发现的高风险项数量、建议加固项编号及日志存储路径（通常为/var/log/lynis-report.dat）。
四、生成详细HTML格式审计报告
Lynis内置报告导出功能，可将结构化审计结果转换为浏览器可读的HTML页面，便于存档、跨团队共享或合规文档归集。
1、执行带HTML输出参数的扫描命令：sudo lynis audit system --html-report /home/$USER/lynis-report.html
2、等待扫描完成，确认输出路径下已生成文件：ls -l /home/$USER/lynis-report.html
3、使用统信UOS默认浏览器打开该文件：xdg-open /home/$USER/lynis-report.html
五、定制化扫描范围与参数调优
针对特定安全需求（如仅聚焦SSH配置或内核参数），可通过参数屏蔽无关检查项，缩短扫描耗时并提升结果精准度。
1、跳过网络连通性测试（适用于无外网访问权限的封闭环境）：sudo lynis audit system --skip-network-tests
2、仅运行与CIS基准强相关的检查项：sudo lynis audit system --profile cis
3、将扫描日志等级设为详细模式以便排查异常：sudo lynis audit system --debug --verbose
