Linux系统需用第三方工具做安全扫描；lynis适合轻量本地审计，openvas须用Docker部署，nmap与nessus无法自动串联，扫描有效性取决于凭证、设置及feed更新。
Linux 系统本身不自带漏洞扫描能力，必须依赖第三方工具；直接运行 apt install openvas 或 yum install nessus 会失败或安装过时版本——正确路径是用官方源或容器化方式部署现代扫描器。
如何用 lynis 做轻量级本地安全审计
lynis 是最易上手的开源审计工具，不依赖网络服务，适合日常巡检。它不扫描远程漏洞，但能发现配置弱点、权限异常、未更新包等高危线索。
- Debian/Ubuntu：先加官方源
sudo apt-key adv --keyserver keyserver.ubuntu.com --recv-keys C80E383C3DE9F082E01391A0366C67DE91CA5D5F，再echo "deb https://packages.cisofy.com/community/lynis/deb/ stable main" | sudo tee /etc/apt/sources.list.d/cisofy-lynis.list，最后sudo apt update && sudo apt install lynis - RHEL/CentOS 8+：启用 EPEL 后用
sudo dnf install epel-release && sudo dnf install lynis；CentOS 7 需手动下载 RPM：wget https://downloads.cisofy.com/lynis/lynis-3.1.2-1.noarch.rpm && sudo rpm -Uvh lynis-*.rpm - 运行后关键看
[+] Security audit results下的Warnings和Suggestions，例如提示SSH server using weak cipher就要检查/etc/ssh/sshd_config中的Ciphers行
为什么 openvas（Greenbone）不能直接 apt install 安装
Debian/Ubuntu 官方仓库中的 openvas 包已废弃多年，实际是旧版 GVM 6 的残骸，无法连接现代 feed，启动即报错 gsad: failed to connect to manager。必须用 Greenbone 官方 Docker 镜像或从源码编译。
