第一招：强化 SSH/SFTP 配置基础
在 Debian 系统中，SFTP 的安全性不仅取决于网络边界，还取决于 SSH 服务的配置。本文围绕 Debian SFTP 防护三招：从配置到监控的实用步骤，快速防止攻击，从配置层面提供一个可落地的起步方案，帮助你建立稳固的初始防线。
关键点在于尽量减少暴露面、提升认证强度，并为后续监控留出空间。通过正确的默认设置，可以显著降低暴力破解与未授权访问的风险。
关闭 root 登录并启用公钥认证
首先应确保远程登录入口仅对受信用户开放，避免直接使用 root 用户进行任何远程操作。禁用 Root 登录并启用公钥认证，是提升初始防护的核心步骤。
其次，确保服务器端仅接受公钥认证，禁用基于口令的认证。这样可以有效抵御暴力破解等常见攻击手段，并为后续的访问控制打好基础。
# 编辑 SSH 配置，禁用 root 登录
sudo sed -i 's/^#*PermitRootLogin.*/PermitRootLogin no/' /etc/ssh/sshd_config
# 启用公钥认证并禁用密码登录
sudo sed -i 's/^#*PasswordAuthentication.*/PasswordAuthentication no/' /etc/ssh/sshd_config
sudo sed -i 's/^#*PubkeyAuthentication.*/PubkeyAuthentication yes/' /etc/ssh/sshd_config# 重新加载 SSH 服务以应用变更
sudo systemctl reload sshd
重要要点：确保你的公钥已经正确配置在目标账户的 ~/.ssh/authorized_keys 中，且私钥安全存放在客户端，不要将私钥上传到服务器。
限制 SFTP 目录和子系统
在默认 SSH 配置上增加对 SFTP 的专门约束，可以避免用户通过 SFTP 直接获取系统任意目录的权限。为 SFTP 用户指定受限的目录和强制命令，是实现最小权限原则的有效手段。
通过配置 ChrootDirectory 与 ForceCommand，可以确保 SFTP 用户被限定在指定目录内，且只能执行 SFTP 子系统。
# 为特定用户启用受限 SFTP（示例：sftpuser）并强制使用 sftp 子系统
sudo bash -lc 'cat >> /etc/ssh/sshd_config' <注意：ChrootDirectory 要求目录及其父目录的所有权和权限设置正确，通常父目录应为 root:root，权限为 755，以确保 SSHD 可以正确进入受限环境。
第二招：最小化暴露与权限控制
实行最小权限原则，能显著降低单点泄露的影响。通过专用组、分离家目录和按组应用限制，可以把 SFTP 的潜在风险降到最低。
核心理念是让每个账户只拥有完成任务所需的最小权限，并通过 SSHD 的匹配规则逐步落地。
建立专用的 SFTP 用户组并限制家目录
为所有需要 SFTP 的用户创建一个专用组，并确保他们的家目录受限且不可直接用于系统登录外的任意操作。
随后将相关用户加入该组，并在 SSH 配置中对该组应用统一限制，形成清晰的权限边界。
# 创建专用组
sudo groupadd -f sftpusers
# 将用户加入该组（示例：user01）
sudo usermod -aG sftpusers user01
# 为家目录设置受限权限
sudo mkdir -p /home/sftpusers
sudo chown root:root /home/sftpusers
sudo chmod 755 /home/sftpusers
# 为用户创建个人子目录并设置归属
sudo mkdir -p /home/sftpusers/user01
sudo chown user01:sftpusers /home/sftpusers/user01
然后在 SSHD 配置中应用组级限制，确保组内成员只能通过 SFTP 访问受限区域。
# 将 sftpusers 组的成员限制在其家目录并强制 SFTP
sudo bash -lc 'cat >> /etc/ssh/sshd_config' <使用强制命令整合 SFTP 功能
强制命令可以防止用户在 SFTP 会话之外执行不被允许的操作，进一步降低安全风险。
结合前述设置，在匹配到目标组后自动进入受限的 SFTP 模式，并禁用多余的认证与转发能力。
# 已在上一段落中添加，对应的 Match Group 规则已生效
# 重新加载后，系统将对该组生效
sudo systemctl reload sshd
第三招：从监控到告警的全链路监控
没有监控的安全策略，永远只是半成品。将日志、告警和自动化处理串起来，才能在攻击发生的第一时间做出响应。
在实际运维中，围绕 SSHD/SFTP 的监控应覆盖访问记录、异常行为检测以及告警通知三层。
实时日志与告警策略
通过实时查看与定期审计，可以快速发现异常登录、重复失败尝试等可疑行为。将 SSH 相关日志纳入日常监控范围，是第一步。
结合系统日志工具，可以快速定位最近的暴力破解、权限变更或策略绕过等风险点。
# 查看最近的 SSH 相关日志（示例：systemd 日志）
sudo journalctl -u ssh -n 100 --no-pager
# 实时跟踪 SSH 日志输出
sudo journalctl -fu ssh & disown
使用 Fail2ban 进行防护与告警
Fail2ban 能针对日志中的异常行为自动下发封禁策略，减少人为干预成本，并可与邮件、Slack 等通知渠道对接实现告警。
通过 fail2ban 的本地或全局配置，可以实现对 SSH 登录的高效拦截与告警。
# /etc/fail2ban/jail.local（示例配置）
[sshd]
enabled = true
port = ssh
filters = sshd
logpath = /var/log/auth.log
maxretry = 3
bantime = 600
findtime = 600
ignoreip = 127.0.0.1/8
# 重启 Fail2ban 以应用配置
sudo systemctl restart fail2ban
如果你使用统一的日志聚合平台，可以将 Fail2ban 的事件推送到 SIEM 或通知渠道，以实现更高效的运营响应。
注意：不同 Debian 版本的日志路径可能不同，请结合实际系统进行调整。
