如何防御Debian exploit风险

防御 Debian 系统上的 exploit（漏洞利用）风险，核心思路是：减少攻击面 + 及时修补 + 最小权限 + 监控响应。下面按「基础 → 进阶 → 实战清单」给你一份可落地指南。

一、基础防御（必须做）

1. 及时更新系统与软件

Debian 绝大多数 exploit 都依赖未修复漏洞。

sudo apt update
sudo apt upgrade -y
sudo apt dist-upgrade -y

定期自动更新（推荐）：

sudo apt install unattended-upgrades
sudo dpkg-reconfigure --priority=low unattended-upgrades

查看安全更新：

apt list --upgradable | grep security

2. 只安装必要的软件

越少服务 = 越少 exploit 目标。

• 删除无用服务

sudo apt remove --purge telnet rsh-client

• 禁用不必要服务

systemctl disable bluetooth
systemctl stop bluetooth

3. 使用 Debian 稳定版（Stable）

• ✅ Debian Stable（如 bookworm）
• ❌ 不建议生产环境用 Testing / Unstable / Sid

二、系统加固（重要）

4. 使用防火墙（iptables / nftables / ufw）

示例（UFW）：

sudo apt install ufw
sudo ufw default deny incoming
sudo ufw default allow outgoing
sudo ufw allow ssh
sudo ufw enable

5. 限制 SSH 风险（高危）

编辑 /etc/ssh/sshd_config：

PermitRootLogin no
PasswordAuthentication no
Port 2222
MaxAuthTries 3

然后：

systemctl restart ssh

✅ 使用 SSH 密钥 + Fail2ban

sudo apt install fail2ban

6. 启用自动安全机制

Debian 默认支持：

• AppArmor（推荐开启）

sudo apt install apparmor apparmor-profiles
aa-status

• SELinux（Debian 支持但不默认）

三、防 exploit 技术（进阶）

7. 开启内核安全保护

检查：

cat /proc/sys/kernel/randomize_va_space  # 应为 2

确保启用：

• ASLR
• NX / DEP
• Stack Protector

Debian 默认已开启，不要手动关闭。

8. 使用 grsecurity / hardened kernel（高级）

可选：

• linux-image-hardened
• 或自行编译 grsecurity 内核（不适合新手）

9. 文件系统保护

mount | grep ' / '  # 确保无 exec, suid 异常

关键目录建议：

/tmp  → noexec, nosuid

/etc/fstab
tmpfs /tmp tmpfs defaults,noexec,nosuid,nodev 0 0

四、监控与应急响应

10. 日志与入侵检测

sudo apt install rkhunter chkrootkit aide

• rkhunter：rootkit 检测
• aide：文件完整性监控

查看异常：

journalctl -p 3 -xb

11. 漏洞情报来源

关注：

• Debian Security Advisory
  https://www.debian.org/security/
• debsecan

sudo apt install debsecan
debsecan

五、真实环境最小防御清单 ✅

✅ 用 Stable 版本
✅ 自动安全更新
✅ 非 root + 密钥 SSH
✅ 防火墙只开必要端口
✅ AppArmor 开启
✅ 定期 debsecan + 日志审计

如果你愿意，我可以：

• 给你 Debian 服务器一键加固脚本
• 针对 某次具体 CVE / exploit（如 Dirty Pipe、Looney Tunables）讲防御
• 或按 Web / 数据库 / 内网 场景细化方案

你当前用的是 Debian 几？服务器还是桌面？