Debian Context中如何提升安全性

Debian 系统安全加固清单

一 基础系统与账户

• 保持系统为最新安全补丁：执行sudo apt update && sudo apt upgrade -y；如为Debian 10+，建议启用自动安全更新：安装并配置unattended-upgrades（sudo apt install unattended-upgrades -y，随后运行 sudo dpkg-reconfigure unattended-upgrades 按向导启用）。
• 创建普通用户并加入sudo，日常以最小权限操作；通过PAM设置密码复杂度（长度、字符集、周期），杜绝弱口令。
• 禁止root远程登录：编辑**/etc/ssh/sshd_config**，设置PermitRootLogin no；同时设置PermitEmptyPasswords no。
• 使用SSH 密钥登录并禁用口令登录（PasswordAuthentication no），妥善保管私钥，必要时使用密钥口令与代理转发。
• 仅开放必要端口：用ss -tulnp或netstat -tulnp核查监听端口，关闭无用服务与端口。
• 物理与引导安全：在BIOS设置强密码并禁用从USB/CD引导；为GRUB设置启动密码，防止未授权进入单用户模式。

二 网络与防火墙

• 启用UFW或iptables，默认拒绝入站，仅放行SSH/HTTP/HTTPS等必要流量；对数据库等敏感服务仅监听127.0.0.1或内网网段。
• 可选：更改SSH 端口并配合AllowUsers限制可登录账户，降低自动化扫描命中率（注意这只是“安全通过 obscurity”，不能替代密钥与防火墙）。
• 对外服务（如 Web）强制启用HTTPS/TLS，使用有效证书，避免明文传输。

三 服务与应用安全

• 最小化安装与运行：卸载不需要的软件包，停止并禁用不需要的systemd服务，减少攻击面。
• 分区与权限：对**/var、/tmp、/home**等进行合理分区或挂载选项（如 noexec、nosuid、nodev 视场景而定），保护日志与临时文件。
• LAMP/Web 场景：
  • Apache/Nginx：关闭目录浏览（如 Options -Indexes），隐藏版本信息，配置仅必要的HTTP 头与TLS；为虚拟主机正确设置root与访问控制。
  • MariaDB/MySQL：运行mysql_secure_installation，删除匿名用户、限制远程 root、仅允许本地或受控网段访问。
  • PHP：通过php.ini禁用危险函数（如 exec、system 等），关闭不必要的模块，限制文件上传与执行。

四 监控 日志与备份

• 入侵防护：部署Fail2ban对 SSH/HTTP 等进行暴力破解防护；使用Logwatch进行日志汇总与告警。
• 持续审计与合规：定期用Lynis进行系统安全基线扫描，修复中高风险项。
• 监控告警：部署Nagios/Zabbix等监控平台，关注登录异常、资源异常、服务可用性。
• 备份与恢复：制定定期备份（配置与数据分离），验证可恢复性，保留离线/异地副本，形成灾难恢复预案。

五 进阶加固与验证

• 启动与完整性：在支持的硬件上启用Secure Boot，提升固件与引导链完整性。
• 强制访问控制：按需启用SELinux或AppArmor，为关键服务（如 SSH、Nginx、数据库）配置最小权限策略。
• 外设与介质控制：在**/etc/modprobe.d/no-usb.conf中禁用USB 存储**（必要时），并更新 initramfs，降低物理介质数据泄露风险。
• 变更与复核：所有加固操作遵循变更记录与回滚预案；完成后复核监听端口、服务状态与防火墙规则，并进行渗透或基线复测。