Debian Python如何配置安全策略

Debian 上 Python 安全策略配置

一 系统基线加固

• 保持系统与软件包为最新：执行 sudo apt update && sudo apt upgrade -y，及时修补漏洞。
• 创建普通用户并加入 sudo，日常以最小权限运行；禁用 root 远程登录：编辑 /etc/ssh/sshd_config，设置 PermitRootLogin no（或 prohibit-password），重启 sshd。
• 配置防火墙，仅开放必要端口（如 22/80/443）：使用 ufw 或 iptables 放行所需端口，其余默认拒绝。
• 启用入侵防护：部署 fail2ban，例如对 SSH 设置最大重试 3 次、封禁 600 秒；启动并开机自启。
• 自动化安全更新：安装并启用 unattended-upgrades，自动获取安全补丁。
• 登录审计与监控：启用 logwatch 等日志分析工具，定期审查登录与关键服务日志。

二 Python 运行环境与依赖管理

• 使用 venv 隔离依赖：为每个项目执行 python3 -m venv && source /bin/activate，避免污染系统包。
• 优先使用 Debian 官方仓库安装 Python 与常用库，减少来自不可信源的包风险。
• 在虚拟环境中用 pip 管理依赖，并定期更新第三方库；避免在生产环境直接使用系统 Python 全局安装包。
• 配置安全的 pip 行为：在 /etc/python3/pip.conf 中启用安全相关选项（如仅使用可信索引、校验哈希等），降低供应链风险。

三 代码与运行时的安全控制

• 最小权限运行：以非 root用户启动应用；如必须提权，使用最小范围的 sudo 或系统服务权限模型。
• 网络访问控制：仅开放必要端口与来源 IP；对外服务建议置于 反向代理/负载均衡 之后，启用 TLS。
• 日志与监控：为应用输出结构化日志，集中到 rsyslog/journald；结合 fail2ban 与监控平台（如 Nagios/Zabbix）设置告警。
• 代码防护：对敏感逻辑进行输入校验与异常处理，避免信息泄露；对分发场景可使用 PyArmor 等工具进行代码混淆与保护（注意其对调试与性能的影响）。

四 可选强化与合规

• 强制访问控制：如业务需要，可在 Debian 上启用 SELinux（安装 selinux-basics、selinux-policy-default，将 /etc/selinux/config 的 SELINUX=enforcing 后重启），并依据最小权限原则配置策略。
• 完整性检查：定期运行 rkhunter 进行系统完整性扫描与更新，发现可疑文件与异常配置。

五 快速检查清单