如何快速掌握Debian系统安全优化技巧，实现高效安全的系统管理？

痛点一：程序频繁被攻击。导致业务中断

未及时打补丁、开放过多端口还有使用默认密码登录，往往成为攻击者的首选目标。即使是经验丰富的管理员，也可能因为工作节奏快而忽视安全细节。

一、快速了解程序更新与补丁管理

Debian 的安全维护主要是 apt-get update 与 apt-get upgrade。确保所有软件包保持最新，可以用以下脚本周期性执行：

# 每日凌晨执行
0 2 * * * root apt-get update && apt-get upgrade -y

定期查看包日志。了解关键安全更新：

# 查看特定包的变更记录
apt changelog 

二、配置 UFW 防火墙，最小化攻击面

默认情况下Debian 安装后不启用防火墙。使用 UFW应该把端口快速锁定。

# 安装并启用 UFW
sudo apt-get install ufw
sudo ufw enable
# 默认拒绝所有入站连接。仅允许 SSH和 HTTP/HTTPS
sudo ufw default deny incoming
sudo ufw allow ssh
sudo ufw allow http
sudo ufw allow https
# 检查状态
sudo ufw status verbose

至于痛点二，误将内部服务暴露给公网，导致扫描漏洞泄露

通过 UFW，只暴露必要端口，可有效阻止扫描工具发现隐藏服务。

三、SSH 密钥认证与强制禁用密码登录

密码登录是最常见的弱点。改为密钥认证并禁用密码，可大幅降低暴力风险。

# 本地生成密钥对
ssh-keygen -t rsa -b 4096 -C ""
# 将公钥复制到服务器
ssh-copy-id -i ~/.ssh/id_rsa.pub username@remote_host
# 禁用密码登录：编辑 /etc/ssh/sshd_config
PasswordAuntication no
# 重启 SSH 服务
sudo systemctl restart sshd

痛点三的观点是，SSH 登录被暴力导致账号被锁或被植入后门

结合 Fail2Ban 可进一步防护。

四、安装并配置 Fail2Ban 防止暴力

Fail2Ban 能监控日志文件。一旦检测到异常登录尝试，即刻封锁攻击 IP。

# 安装 Fail2Ban
sudo apt-get install fail2ban
# 拷贝配置文件以自定义设置
sudo cp /etc/fail2ban/jail.conf /etc/fail2ban/jail.local
# 编辑 jail.local。例如针对 sshd 的规则：
enabled = true
port = ssh
filter = sshd
logpath = /var/log/auth.log
maxretry = 5 # 超过5次尝试后封锁 IP
# 启动并开启 Fail2Ban 自动启动：
sudo systemctl enable fail2ban && sudo systemctl start fail2ban
# 查看当前封锁列表：
fail2ban-client status sshd
fail2ban-client status sshd | grep "Currently banned"

痛点四这方面，持续被同一 IP 或机器人进行尝试，浪费资源且增加日志噪声

五、引入 SELinux 或 AppArmor 提高程序隔离性

Debian 默认使用 AppArmor，但你也可以切换到 SELinux 提供更严格的访问控制。

# 安装 SELinux
sudo apt-get install selinux-basics selinux-policy-default auditd
# 初始化配置并启用：
sudo selinux-activate --install-policy=default --policy=targeted --enforce-mode=enforcing
# 查看当前模式：
sestatus | grep "Current mode"

至于痛点五。应用程序越权执行导致潜在权限提高或数据泄漏风险高企

至于建议一，开启 AppArmor 且限制未授权程序运行权限；建议二：对容器化部署采用 Docker 并绑定合适的 CGroup 与 Seccomp 策略；建议三：定期审计程序日志与安全事件报告。

#!/bin/bash

set -euo pipefail

echo "=== 更新程序 ===" apt-get update && apt-get upgrade -y

echo "=== 安装基础工具 ===" apt-get install -y ufw fail2ban docker.io selinux-basics auditd wget curl gnupg lsb-release ca-certificates binutils objdump radare2

echo "=== 配置 UFW ===" ufw default deny incoming && \ ufw allow OpenSSH && \ ufw allow http && \ ufw allow https && \ ufw enable || true # 防止脚本因已启用而报错

echo "=== 配置 SSH 密钥认证 ===" mkdir -p ~/.ssh && chmod 700 ~/.ssh if;n ssh-keygen -t rsa -b 4096 -N "" -f ~/.ssh/idrsa fi cat ~/.ssh/idrsa.pub> authorizedkeysfilepathonserver # 手工替换方法或通过 scp 上传

echo "=== 禁用密码登录 ===" sed -i 's/#PasswordAuntication yes/PasswordAuntication no/' /etc/ssh/sshd_config || true systemctl restart sshd

echo "=== 配置 Fail2Ban ===" cp /etc/fail2ban/jail.conf /etc/fail2ban/jail.local || true sed -i 's/^enabled\s=.$/enabled = true/' /etc/fail2ban/jail.local || true systemctl enable fail2ban && systemctl start fail1ban

echo "=== 激活 SELinux ===" selinux-activate --install-policy=default --policy=targeted --enforce-mode=enforcing || echo "SELinux 已启用"

echo "✅ 完成！请检查每项服务状态确认无误。"