一、建立企业级 Debian 安全基线与治理
资产识别与分级
在企业环境中，第一步是建立全面的资产清单，以便明确哪些 Debian 服务器承载关键服务。资产清单应包括主机、网络边界设备、应用服务、数据库、容器及虚拟化资源等，分级策略用于确定重点改造对象。
通过清点资产，可以识别面临的 exploit 风险点，如暴露的 SSH、Web 服务、过期软件包等，并据此制定优先级。
同时建立变更与配置基线，确保新上线或迁移的主机自动遵循同等的 基线要求，降低后续审计成本。
基线配置与基线审计
将 CIS Debian Benchmark 作为参考基线，并结合企业需求进行本地化调整。基线配置覆盖账户、网络、服务、日志与运行时策略，确保一致性。
建立持续的 基线审计与变更监控，确保偏离基线的改动能够被检测并快速回滚。
下一步部署自动化工具对基线进行持续校验与修复，降低人工运维成本。下面的做法可以落地：
# 使用 debian-security 旨在确保系统包的安全性
apt update && apt upgrade -y
apt install -y apt-listchanges
二、系统层面硬化：降低攻击面
最小化安装与软件来源管理
仅安装必要的软件包，减少潜在的攻击面。最小化安装原则要求谨慎评估软件包的必要性。
限制软件来源的 签名与可信性，使用官方镜像与受信任的私有仓库，配置 apt 安全性，开启 apt-secure。
如果存在自定义仓库，请对其进行签名和审计，确保 包完整性。
身份与访问控制
禁止直接以 root 用户登录，推荐通过 sudo 进行权限提升，并采用公钥认证的 SSH 方式。账号治理与 访问策略是防止 exploit 利用凭证攻击的核心。
具体做法包括：禁用密码认证、禁用 root 登录、开启 SSH 证书认证，设置强密码策略与账户锁定策略。
# /etc/ssh/sshd_config 示例
PermitRootLogin no
PasswordAuthentication no
PubkeyAuthentication yes
随后重启服务以应用变更，并留意日志以确保没有误封的连接。
远程访问与网络分段
对外暴露的服务应放在最小必要端口，结合防火墙策略实现网络分段。分段控制与 最小暴露原则可以显著降低 exploit 的横向移动风险。
通过边界防护和主机防护的双层策略，即可在攻击初期截断传播路径。
# 使用 nftables 配置简单的入口策略
table inet filter {chain input {type filter hook input priority 0; policy drop;iif "lo" acceptct state established,related accepttcp dport { 22, 80, 443 } accept}
}
三、应用层与运行时防护
应用程序与容器安全
应用层的防护需要结合 AppArmor、Seccomp、以及对容器与运行时环境的限制。AppArmor可对可执行文件绑定访问权限，限制系统调用和文件访问，降低 exploit 利用的成功率。
在运行容器化应用时，应启用最小权限的容器配置、使用只读根文件系统、并启用 Seccomp 和 Profile 限制。
通过对关键服务如 Web、数据库的输入输出进行强制策略控制，可以显著提升抗虐待与入侵能力。
# 查看 AppArmor 状态
systemctl status apparmor
aa-status
下面是将特定程序强制到受限配置的示例：
# 启用强制策略（示例）
aa-complain /path/to/profile
aa-enforce /path/to/profile
内核参数与系统调优
对系统内核参数进行合理调整有助于抵御 exploit 漏洞利用。关键点包括启用 ASLR、禁用不必要的内核功能，以及限制对内核指针的暴露。
常用 sysctl 参数会影响网络与内存的安全性，需结合业务场景逐步应用。
# /etc/sysctl.d/10-security.conf
net.ipv4.ip_forward = 0
net.ipv4.conf.all.rp_filter = 1
net.ipv4.tcp_syncookies = 1
kernel.kptr_restrict = 2
vm.min_map_count = 262144
fs.file-max = 2097152
另外，开启 ASLR 与 RELRO、PIE 等编译选项在编译软件时就应考虑，运行时也应确保可执行文件具备这些属性。
四、日志、监控与应急处置
日志集中与审计
集中日志管理是发现 exploit 攻击与异常行为的核心。通过 rsyslog 或 journald，将日志聚合到集中日志中心，并配置轮转、归档与告警。
对关键系统组件进行 文件完整性监测，以便在未授权变更发生时触发告警。
入侵检测与应急响应
部署入侵检测工具与告警规则，例如 Fail2Ban、OSSEC/Wazuh、AIDE 等，可以对暴力破解、横向移动、异常执行进行识别。
演练与响应流程需要记录到位，确保在探测到攻击时可以快速隔离受影响主机并恢复服务。
# 安装并启用 AIDE 用于文件完整性检查
apt-get install -y aide
aideinit
mv /var/lib/aide/aide.db.new /var/lib/aide/aide.db
aide --check
五、持续更新与演练：将安全变成常态
自动化更新与漏洞管理
自动化更新是抵御 exploit 入侵的第一道防线。通过 unattended-upgrades 配置，确保安全补丁能够在不中断服务的情况下及时应用。
除了自动更新，还应定期运行漏洞扫描、镜像与软件包审计，确保没有遗留 exploitable 漏洞。
# 安装并启用 unattended-upgrades
apt-get install -y unattended-upgrades
systemctl enable --now unattended-upgrades
演练与灾备
建立桌面演练与桌面演练，定期进行故障切换、备份恢复演练。灾备演练有助于在真实攻击发生时快速恢复。
重要数据应采用定期备份、离线存储与多点恢复能力，以降低单点故障造成的影响。
# 使用 rsync 做离线备份示例
rsync -avz /etc /var/backups/$(date +%F)
