Debian怎样提升文件安全性

Debian提升文件安全性的实用清单

一 身份与权限基线

• 使用最小权限原则：日常以普通用户操作，通过sudo提权；禁止直接用root登录与日常操作。
• 严格设置文件与目录权限：敏感文件设为600（仅属主读写），敏感目录设为700（仅属主读写执行）；用chown/chgrp确保属主与属组正确。
• 启用ACL做细粒度授权（需文件系统挂载支持ACL）：
  • 安装工具：sudo apt-get install acl
  • 设置例：setfacl -m u:alice:rwx /path/file，setfacl -m g:devs:--- /path/file
• 利用chattr加固关键文件/目录（仅root可设）：
  • 防篡改/防删除：sudo chattr +i /path/file_or_dir（必要时递归：-R）
  • 仅追加：sudo chattr +a /var/log/app.log（适合日志）
  • 查看属性：lsattr /path
• 原则：先明确“谁能访问什么”，再收紧到“必须能访问的最小集合”。

二 加密与密钥管理

• 文件/目录级加密（便携、按需）：
  • GnuPG（对称或公私钥）：
    • 对称：gpg --symmetric --cipher-algo AES256 secret.txt
    • 公钥：gpg -e -r alice@example.com secret.txt
  • OpenSSL（对称）：
    • openssl enc -aes-256-cbc -salt -pbkdf2 -in plain.txt -out cipher.bin
• 磁盘/分区级加密（静态数据强保护）：
  • LUKS：sudo cryptsetup luksFormat /dev/sdX → sudo cryptsetup open /dev/sdX enc → sudo mkfs.ext4 /dev/mapper/enc → sudo mount /dev/mapper/enc /mnt
• 透明目录加密（现有目录上叠加加密）：eCryptfs/EncFS，适合用户主目录或项目目录的按需加密。
• 密钥与口令安全：私钥与恢复口令离线保存（如密码管理器/硬件安全模块），定期轮换；GPG/SSL密钥长度建议≥2048位。

三 访问控制与强制策略

• 启用AppArmor（Debian常用、路径级MAC）：
  • 安装：sudo apt-get install apparmor apparmor-utils
  • 启用/强制：sudo aa-enforce /etc/apparmor.d/usr.sbin.<服务名>
• 可选SELinux（更严格的MAC，需额外策略维护）：
  • 安装：sudo apt-get install selinux-basics selinux-policy-default
  • 启用：sudo setenforce 1（并调整相应策略）
• 原则：用强制访问控制限制“进程能访问哪些文件/目录”，即使被提权也难以横向移动。

四 传输存储与备份审计

• 传输加密：对外传输或备份链路使用TLS/SSL；避免在明文协议（如FTP）上传输敏感文件。
• 完整性校验：重要文件落地后用sha256sum/sha512sum生成校验值并留存，定期核验。
• 审计与入侵检测：
  • 文件访问审计：auditd 记录对敏感路径的打开/读写/删除；
  • 暴力破解防护：fail2ban 监控日志并封禁来源IP；
  • 日志汇总告警：Logwatch 定期邮件汇总异常。
• 备份与离线留存：对加密后的备份做版本化与异地/离线留存，定期演练恢复流程。

五 系统加固与运维实践

• 保持安全更新：定期执行apt update && apt upgrade，及时修补内核与用户态组件漏洞。
• 最小化暴露面：仅开放必要端口（如22/80/443），用iptables/ufw配置白名单与速率限制。
• 安全启动：在支持的硬件上开启Secure Boot，提升引导链可信度。
• 安全删除与防恢复：对含敏感信息的介质进行物理销毁或在支持的文件系统上使用shred；注意常规删除并非真正不可恢复。
• 基线核查清单：
  • 关键文件权限是否为600/700；ACL是否最小化；
  • 是否存在明文口令/密钥在代码或配置中；
  • AppArmor/SELinux是否对关键服务生效；
  • 备份是否加密、离线且可验证。