Debian 与 Yum 的安全加固指南
纠正前提与总体思路
- Debian 系列默认使用 APT/dpkg 而非 YUM/DNF；YUM 属于 RHEL/CentOS/Fedora 等基于 RPM 的系统。若你的环境是 Debian，请使用 APT 的安全做法；若是 RHEL/CentOS，则按 YUM 的安全做法实施。以下分别给出两套做法，便于对照执行。
Debian 使用 APT 的安全加固清单
- 保持系统与安全补丁为最新：执行 sudo apt update && sudo apt upgrade -y；内核或关键组件更新后按需重启。
- 启用无人值守自动安全更新：安装并配置 unattended-upgrades，仅自动安装安全更新，减少暴露窗口。
- 加固 SSH 访问：编辑 /etc/ssh/sshd_config，设置 PermitRootLogin no，仅允许密钥登录（禁用口令），重启 sshd 生效。
- 配置防火墙：使用 ufw 仅放行必要端口（如 22/80/443），默认拒绝其他入站。
- 账户与权限最小化：设置强密码策略（长度≥8，包含大小写字母、数字与特殊字符），将运维账号加入 sudo，禁止 root 远程登录，禁用不必要的系统账户或设为 /usr/sbin/nologin。
- 入侵防护与审计：部署 fail2ban 缓解暴力破解；安装并启用 auditd 记录关键审计日志，定期审查 /var/log/ 与审计日志。
RHEL/CentOS 使用 YUM 的安全加固清单
- 保持系统与内核为最新：执行 sudo yum update -y；内核更新后重启以生效。
- 启用自动安全更新：安装并启用 yum-cron，配置为仅下载或仅安装安全更新，结合变更窗口与回滚预案执行。
- 加固 YUM 与仓库安全：确保启用 GPG 包签名验证（默认应已开启）；仅使用可信仓库；必要时为私有仓库配置凭证与访问控制；在启用 SELinux 的系统上保持正确的 SELinux 上下文与策略；防火墙放行 HTTP/HTTPS 出站以访问仓库。
- 精细化仓库与版本控制：在 /etc/yum.conf 的 [main] 段使用 exclude=kernel* 可避免意外内核升级（仅在明确变更管理流程下使用）；变更前备份 /etc/yum.repos.d/ 下的仓库文件。
- 账户与权限最小化：设置强密码策略（如长度≥8，包含大小写字母、数字与特殊字符），将运维账号加入 wheel 并采用 sudo 精细授权；禁止 root 远程登录；禁用不必要的系统服务与端口。
- 入侵防护与审计：部署 fail2ban 缓解暴力破解；安装并启用 auditd 记录关键审计日志，定期审查 /var/log/ 与审计日志。
通用加固与运维建议
- 建立变更与应急流程：定期（如每周）检查并应用更新，重大变更在测试环境验证；制定回滚与应急脚本，发生事件时可快速隔离与取证（如保存日志与关键文件）。
- 持续漏洞管理：定期使用 OpenVAS 等工具进行漏洞扫描与报告，闭环修复高风险项并留存证据。