Debian Cobbler如何安全加固

Debian 环境下 Cobbler 的安全加固清单

一 基础加固与最小暴露面

• 升级与补丁：将 Cobbler 升级至包含修复的版本，至少升级到3.3.0+，以修复如CVE-2021-40323等已知严重漏洞；无法立即升级时，优先采取临时缓解措施（见第三部分）。执行cobbler --version核对版本。
• 最小化服务与端口：仅启用必需服务（如Apache httpd、cobblerd、TFTP、DHCP按需），关闭或卸载未使用的组件；将服务绑定到管理网/装机网的接口，避免暴露在公网。
• 网络分段与隔离：PXE/装机网络与办公/生产网络VLAN 隔离；DHCP/TFTP 仅在内网提供；对管理口实施ACL与跳板机访问。
• 基线检查与持续核查：定期运行cobbler check，对提示项逐项整改，变更后用cobbler sync使配置生效。

二 身份与访问控制

• 强口令与默认口令整改：立即修改 Web 管理账户口令；同时更新/etc/cobbler/settings中的default_password_crypted，该值会作为新装系统的root默认口令。生成方式示例：openssl passwd -1 -salt '随机盐' '你的强密码'，将输出写入配置并重启cobblerd。
• Web 认证与授权：使用htdigest管理 Web 用户，配置文件为/etc/cobbler/users.digest，域为Cobbler；示例：htdigest /etc/cobbler/users.digest "Cobbler" 用户名；删除或禁用默认账户。
• 最小权限原则：仅授予运维/自动化系统必要的 API/Web 访问权限；对外部系统调用采用专用账号与最小权限策略。

三 服务与接口安全

• 加固 XMLRPC 接口：如暂无法升级修复漏洞，可在/etc/cobbler/settings中将xmlrpc_enabled: False临时禁用；恢复前务必完成升级与回归测试。
• 强制启用 TLS/HTTPS：部署有效的TLS 证书，仅开放443并禁用明文访问；Web 登录 URL 使用https://<host>/cobbler_web。
• TFTP 安全：确保仅在内网提供 TFTP，限制可引导文件列表，避免通过 TFTP 泄露敏感文件；变更引导模板后用cobbler sync同步。
• DHCP 安全：若由 Cobbler 管理 DHCP，通过/etc/cobbler/dhcp.template下发最小必要参数（next-server、filename "/pxelinux.0"等），避免动态更新与外部滥用；与网络侧 ACL 联动限制来源。

四 系统与日志审计

• 文件与目录加固：对/etc/cobbler/、/var/lib/cobbler/、/var/www/cobbler/设置最小权限（仅管理员可读写），开启完整性校验（如 AIDE）；对/var/log/cobbler/设置日志轮转与不可变属性（如chattr +a）。
• 集中审计与监控：将 Cobbler 日志接入集中日志平台（如 rsyslog/ELK），对/var/log/cobbler/cobbler.log、/var/log/cobbler/installing中的异常安装、未授权访问、模板变更等进行告警；启用命令审计（bash history、sudo 日志）。
• 变更管控与备份：所有cobbler配置变更走变更单+双人复核；变更前备份/etc/cobbler/与/var/lib/cobbler/，变更后执行cobbler sync并验证。

五 快速核查与加固命令清单

• 版本与漏洞：
  • 核对版本：cobbler --version（需≥3.3.0修复 CVE-2021-40323）
  • 临时缓解（无法升级时）：编辑/etc/cobbler/settings，设xmlrpc_enabled: False并重启服务
• 口令与 Web：
  • 生成新口令：openssl passwd -1 -salt '随机盐' '强密码'
  • 写入配置：/etc/cobbler/settings → default_password_crypted: "<加密串>"
  • 新建 Web 用户：htdigest /etc/cobbler/users.digest "Cobbler" <用户名>
  • 重启服务：systemctl restart cobblerd
• 配置生效与核查：
  • 同步：cobbler sync
  • 自检：cobbler check
  • 日志路径：/var/log/cobbler/cobbler.log、/var/log/cobbler/installing
• 服务与端口：
  • 仅开放443（HTTPS/Web）、69（TFTP，内网）、80（可选重定向至 443）、DHCP（仅内网）
  • 禁用明文管理接口与调试端口，变更后复核监听与防火墙规则