Debian Exploit预防：安全加固技巧

Debian Exploit 预防与安全加固清单

一 基础防护与系统更新

• 保持系统与软件包为最新：执行sudo apt update && sudo apt upgrade -y，及时修补已知漏洞。
• 启用自动安全更新：安装并配置unattended-upgrades，对新安全补丁自动安装，减少暴露窗口。
• 最小化安装与清理：仅安装必要软件，定期执行sudo apt autoremove移除无用包与依赖。
• 加固软件源与镜像：使用官方或可信镜像，必要时校验MD5/SHA256，确保安装介质与仓库未被篡改。
• 持续关注安全通告：跟进Debian Security Advisories与稳定版/长期支持版（如Debian 12.9包含的多项安全修复）。

二 账户与 SSH 安全

• 最小权限原则：日常使用普通用户 + sudo，避免直接用root操作。
• 禁用 root 远程登录：在**/etc/ssh/sshd_config中设置PermitRootLogin no**（或prohibit-password），仅允许本地应急使用。
• 强制密钥认证：禁用密码登录（PasswordAuthentication no），使用SSH 密钥对；设置PermitEmptyPasswords no。
• 强化口令策略：通过PAM配置最小长度、字符类别与周期更换，杜绝弱口令与复用。
• 可选端口调整：可修改Port为非默认端口以降低自动化扫描命中率，但需同步更新防火墙与运维流程。

三 网络与防火墙

• 启用 UFW 并最小化放通：
  • 启用：sudo ufw enable
  • 放通：sudo ufw allow 22/tcp, 80/tcp, 443/tcp
  • 状态：sudo ufw status
• 仅开放必要端口与协议，默认拒绝其他入站；按需限制出站策略。
• 禁用明文与高风险服务：如Telnet（明文传输），使用SSH替代，并在防火墙层面阻断23/tcp。
• 定期审查规则与监听：结合ufw status、ss/netstat核查异常端口与连接。

四 服务与应用加固

• 运行与端口最小化：关闭不必要的系统服务/套接字，减少攻击面。
• 强制加密传输：对外服务启用HTTPS/TLS；Web 可用Certbot申请Let’s Encrypt证书。
• LAMP 专项：
  • Apache：仅启用必要模块，限制目录访问，隐藏版本信息。
  • MySQL/MariaDB：执行mysql_secure_installation，删除匿名账户、限制远程 root、设置强口令。
  • PHP：在php.ini禁用危险函数（如exec、system、shell_exec、passthru），并合理限制上传与内存。
• 强制访问控制：启用AppArmor（或 SELinux，若已适配），为关键服务（如sshd、nginx、mysqld）加载受限配置，降低被攻陷后的横向移动与提权风险。

五 日志监控 备份与应急响应

• 集中与审计日志：启用journald与rsyslog，定期审阅**/var/log/auth.log等关键日志；使用Logwatch**汇总报告。
• 入侵防护与暴力破解缓解：部署fail2ban自动封禁反复失败的来源。
• 主机加固与恶意代码检测：定期运行rkhunter、chkrootkit识别后门与异常。
• 漏洞扫描与合规核查：使用OpenVAS/Nessus进行周期性扫描，修复中高危项。
• 备份与可恢复性：对配置与数据执行定期备份（如tar/rsync），并进行恢复演练验证可用性。
• 事件响应预案：制定并演练应急响应计划，明确隔离、取证、通报与恢复流程，缩短停机时间。