用 getconf 洞察系统边界，据此加固 Debian 安全
核心思路
- getconf 是用于查询系统配置变量的只读工具，不能直接修改系统设置；可先获取如 OPEN_MAX、ARG_MAX、NAME_MAX、HOST_NAME_MAX、PAGESIZE、RLIMIT_CORE、CLOCK_RESOLUTION、GNU_LIBC_VERSION 等关键值，再据此调整 /etc/security/limits.conf、/etc/sysctl.conf、/etc/ssh/sshd_config 等，以收敛资源、降低攻击面、提升可观测性。
基线巡检与风险识别
- 建议以清单方式巡检并据此制定加固项（示例命令与意义）：
- 资源与进程边界
- 查看进程可打开的最大文件描述符：getconf OPEN_MAX（过低会影响高并发服务；需结合服务需求与内核/ulimit 调整）
- 查看命令行参数最大长度：getconf ARG_MAX（过短可能导致服务启动/重载失败）
- 查看最大线程相关限制：getconf THREAD_MAX（影响高并发/多线程应用）
- 文件系统与名称约束
- 查看文件名最大长度：getconf NAME_MAX /（影响备份、同步、归档工具与业务命名策略）
- 查看主机名最大长度：getconf HOST_NAME_MAX（影响监控、日志、证书与 DNS 合规）
- 内存、时间与库版本
- 查看内存页大小：getconf PAGESIZE（影响内存对齐、缓存与 mmap 安全配置）
- 查看时钟分辨率：getconf CLOCK_RESOLUTION（影响时间精度与日志取证粒度）
- 查看 glibc 版本：getconf GNU_LIBC_VERSION（用于评估已知 CVE 的适用性）
- 安全相关资源限制
- 查看核心转储上限：getconf RLIMIT_CORE（建议按需关闭或限制，降低信息泄露风险）
- 巡检输出可保存为基线，变更前后对比，验证加固效果与兼容性。
基于 getconf 的加固动作
- 资源限制收敛（降低 DoS 与滥用风险）
- 依据 OPEN_MAX 与业务峰值，为关键服务与普通用户设置合理的文件描述符上限（示例：/etc/security/limits.conf）
- 示例：
- 全局软/硬限制：* soft nofile 65535；* hard nofile 65535
- 特定服务用户（如 www-data）：www-data soft nofile 65535；www-data hard nofile 65535
- 依据 RLIMIT_CORE 与合规要求，限制或禁用核心转储（示例：ulimit -c 0 或在 limits.conf 设置 * soft core 0），减少敏感内存被落盘的风险。
- 内核与网络加固（sysctl）
- 在 /etc/sysctl.conf 或 /etc/sysctl.d/99-security.conf 中启用关键项（示例）：
- 开启 SYN Cookie、缩短 TCP 半开连接回收时间
- 开启反向路径过滤（依据网络拓扑谨慎设置）
- 开启 exec-shield/内存随机化相关选项
- 应用：sysctl -p 或重启网络/系统服务。
- SSH 与账户安全（与资源限制协同）
- 禁用 root 远程登录：编辑 /etc/ssh/sshd_config，设置 PermitRootLogin no
- 强制 SSH 密钥登录、禁用空密码；必要时限制登录用户与来源网段
- 结合 ulimit/limits.conf 为 sshd 与登录用户设置合理的 nofile 与 nproc，避免资源耗尽型攻击
- 服务最小化与防火墙
- 关闭不必要的服务与端口；仅放行 SSH/HTTP/HTTPS 等必要流量
- 使用 ufw 或 iptables 实施最小权限访问控制。
变更与运维要点
- 变更流程
- 备份配置（如 /etc/security/limits.conf、/etc/sysctl.conf、/etc/ssh/sshd_config）
- 灰度/分阶段生效（先单服务或单用户验证）
- 使用 sysctl -p 使内核参数生效；重启相关服务或会话以应用 ulimit/limits.conf
- 持续监控与告警
- 部署 Fail2ban 监控暴力登录；使用 Logwatch 或集中式日志分析，关注 RLIMIT_CORE、登录失败、连接异常等信号
- 安全更新与加固闭环
- 定期执行 apt update && apt upgrade；生产环境建议启用 unattended-upgrades 自动安装安全补丁
- 订阅 debian-security-announce，及时评估 glibc 等基础组件更新对业务与配置的影响。