Debian 系统安全加固：一套拿来就能用的实操指南
安全防护看似抽象，但落实到具体操作，其实有章可循。今天介绍的这套 Debian 安全加固方案，均经过实际环境验证，每一步都附带明确的命令与配置目标，适合直接落地执行。
首先聚焦系统更新这一基础但至关重要的环节。定期执行 sudo apt update && sudo apt upgrade -y 命令，可将系统和所有软件包更新至最新版本，及时修复已知漏洞，这是最基本的安全门槛。更省心的做法是安装 unattended-upgrades 包并完成配置，让系统自动获取并安装安全补丁，将被动防御转为主动防护。
用户权限与 SSH 安全是防御体系的核心区域。第一，日常操作严禁使用 root 用户，应新建一个普通用户并通过 usermod -aG sudo 用户名 加入 sudo 组，将最高权限收归专用。第二，在 /etc/ssh/sshd_config 文件中设置 PermitRootLogin no，彻底禁用 root 的 SSH 远程登录。第三，采用 SSH 密钥对认证替代密码登录，通过 ssh-keygen -t rsa 生成密钥，再用 ssh-copy-id 将公钥复制到服务器。第四，务必避免空密码登录，配置 PermitEmptyPasswords no，封堵暴力破解的入口。
防火墙配置推荐使用 ufw 工具，操作直观、规则清晰。遵循最小权限原则：仅开放必要端口，如 SSH 的 22 端口、HTTP 的 80 端口、HTTPS 的 443 端口，其余所有未授权的入站连接一律拒绝。操作示例：先执行 sudo ufw allow OpenSSH 放行 SSH 服务，再执行 sudo ufw enable 启动防火墙。该开的门必须留，不该开的门一扇都不能开。
系统运行的服务越多，潜在攻击面就越大。使用 systemctl list-units --type=service --state=running 命令检查当前运行中的服务，将非必需尤其是 以明文方式传输 的服务（如 Telnet、FTP 等）果断关闭：sudo systemctl stop telnet.socket && sudo systemctl disable telnet.socket。关闭不必要的服务和端口，可显著降低被攻破的可能性。
除了被动防御，还需主动预警与反制。安装 snort 这类入侵检测系统，实时监控网络流量中的异常行为；部署 fail2ban 自动封禁多次登录失败的 IP，这是对抗暴力破解的有力武器；再配合 rkhunter（sudo rkhunter --check）和 clama v（sudo freshclam 更新病毒库）定期扫描系统，将 rootkit 和恶意软件拒之门外。
数据备份与安全审计是兜底的关键手段。利用 rsync、tar 或 timeshift 等工具定期备份重要数据，核心在于测试备份的可恢复性——无法恢复的备份比没有备份更危险。通过 auditd 监控系统调用，记录关键操作；定期使用 OpenVAS、Nessus 等漏洞扫描工具全面检查，发现潜在漏洞并及时修复。
认证与密码策略的强度不容忽视。通过 libpam-pwquality 模块，在 /etc/security/pwquality.conf 文件中设置密码最小长度至少 12 位（minlen=12），且密码必须包含数字、大小写字母、特殊字符中的三类以上（minclass=3）。务必杜绝 “123456”“password” 等常见弱密码。有条件时启用双因素认证（2FA），多一层防护，多一分安全。
最后，安全不是一次性的工作，需要持续关注与跟进。订阅 Debian 官方安全公告，及时获取最新漏洞信息与修复补丁；积极参与 Debian 社区，交流安全经验；可参照 CIS Debian 基准进行系统加固，使用 cis-debian 脚本检查配置是否符合安全标准。这个行业里，最怕的不是漏洞多，而是明知有漏洞却不去修补。
