Debian系统防范 Exploit 入侵的实用清单
一 基础加固
- 保持系统与软件为最新：定期执行apt update && apt upgrade，必要时使用apt full-upgrade；为降低暴露窗口，建议启用自动安全更新（unattended-upgrades）。Debian 稳定版通常会在每周发布安全更新，及时应用可显著缩短被利用时间。
- 最小化安装与精简服务：仅安装必需软件，停用不必要的systemd服务与端口，减少攻击面。
- 强化身份与访问控制：日常使用普通用户 + sudo，禁用root远程登录；配置SSH 密钥认证、禁用密码与空密码登录；通过PAM实施强密码策略与定期更换。
- 加固内核与系统参数：开启ASLR、关闭不必要的内核模块与功能（如未使用的文件系统、旧协议）；对关键文件设置immutable位；仅使用官方或可信镜像源并校验SHA256等摘要。
二 网络与边界防护
- 配置防火墙：使用UFW快速收紧入口，例如默认拒绝入站、仅放行SSH/HTTP/HTTPS；或直接使用iptables/nftables编写精细化规则，并持久化保存与开机恢复。
- 端口与来源最小化：仅对外开放必需端口；对管理口（如SSH）限制来源网段/IP；云环境配合安全组仅放行业务所需端口与协议。
- 加密与协议收敛：优先使用TLS 1.2+，禁用过时协议与弱套件；对外服务尽量采用反向代理/负载均衡前置，减少直接暴露后端。
三 入侵检测与日志审计
- 集中与持续监控：收集并分析**/var/log/auth.log、/var/log/syslog等关键日志，使用journalctl**、Logwatch等工具做日常审计与告警；必要时引入SIEM进行关联分析。
- 主动防御与阻断：部署Fail2ban对暴力破解进行自动封禁；结合IDS/IPS（如Snort/Suricata）识别异常流量与攻击特征。
- 文件完整性与主机审计：使用AIDE/Tripwire监控关键文件变更；启用auditd记录特权操作与敏感文件访问，便于事后取证与溯源。
- 网络行为观测：对可疑主机进行netstat/ss与Wireshark排查，识别异常连接与可疑进程。
四 应用与运行时防护
- 强制访问控制：启用并调优AppArmor（Debian 常用方案），为Nginx/Apache/PHP-FPM/数据库等进程配置最小权限profile，限制被攻破后的横向移动与提权空间。
- 最小权限运行：服务以专用低权限用户运行；数据库与缓存仅开放必要网络与账户权限；Web 目录禁用执行权限（如Nginx + PHP-FPM场景）。
- 隔离与容错：容器/虚拟化环境保持宿主机与实例隔离；关键业务部署多可用区/主备；定期演练备份恢复与故障切换。
五 事件响应与恢复
- 处置流程：第一时间隔离受感染主机（断网/下线），避免扩散；对关键数据与当前配置做只读备份；保留内存与日志用于取证。
- 根因分析与修复：复核auth.log、syslog与auditd记录定位入口与利用链；优先打补丁/替换组件，无法立即修复时临时下线服务/变更端口/限制访问。
- 可信恢复：从干净快照/离线介质重建系统，按清单逐项恢复业务；恢复后持续监控一段时间确认无残留后门或异常行为。
- 预案与演练：制定并定期测试应急响应预案，明确角色分工、通信机制、取证与通报流程，降低实际事件中的决策与恢复时间。
