Guida alla protezione CIS di Debian 12: una configurazione di base del server passo passo

Cosa è cambiato per Debian 12 e la sua baseline CIS

Debian 12 “Bookworm” è entrato nella fase LTS (Long Term Support) di Debian il 12 luglio 2026. Il supporto di sicurezza è previsto fino al 30 giugno 2028, mentre Debian 13 è ora la versione stabile corrente. Debian raccomanda di aggiornare a Debian 13 laddove possibile. Se si deve necessariamente mantenere Bookworm, è necessario verificare che l'architettura della CPU e i pacchetti installati siano ancora coperti dal supporto LTS, mantenere configurate le sorgenti di sicurezza di Bookworm e pianificare una migrazione testata prima della chiusura del periodo di supporto.

L'elenco CIS attuale include il benchmark CIS Debian Linux 12 v2.0.0 . CIS ha annunciato questo aggiornamento sostanziale nel 2026: ha aggiunto, rimosso, spostato e rivisto le raccomandazioni. Le checklist e le automazioni Debian 12 più vecchie potrebbero quindi fare riferimento a una baseline diversa. Questa guida utilizza il benchmark v2.0.0 come riferimento per la valutazione, ma non riproduce ogni controllo né garantisce un risultato positivo. Utilizzare esattamente il benchmark e il profilo accettati dalla propria organizzazione.

Riferimenti: annuncio di passaggio di consegne di Bookworm LTS da parte di Debian , elenco dei benchmark Debian del CIS e aggiornamento dei benchmark del CIS di giugno 2026 .

Prima di procedere con l'indurimento: selezionare un profilo e un percorso di ripristino.

La protezione CIS non è uno script di shell universale. Un profilo di Livello 1 è un punto di partenza pratico per molti server di produzione; il Livello 2 aggiunge una difesa a più livelli e può avere un impatto maggiore sulla compatibilità e sulle operazioni. CIS raccomanda di testare prima le raccomandazioni scelte in un ambiente non di produzione. Se un ente regolatore, un contratto con il cliente o una politica interna specificano un profilo, è necessario attenersi a tale requisito specifico.

• Registrare come sistema di destinazione Debian 12 Bookworm, la versione del benchmark CIS e il profilo server applicabile.
• Eseguire un backup testato o uno snapshot della macchina virtuale e verificare l'accesso alla console o fuori banda prima di modificare le impostazioni di accesso remoto o del firewall.
• Annotare i servizi necessari, le porte, gli utenti, i processi pianificati, i punti di montaggio e le dipendenze dell'applicazione.
• Definire chi può approvare le eccezioni e dove verranno conservati i report di scansione e i registri delle modifiche.

Il CIS descrive il Livello 1 come un profilo di base e il Livello 2 come un profilo di difesa multilivello più restrittivo. Consulta le FAQ ufficiali sui profili CIS prima di scegliere tra i due.

1. Confermare la versione di Debian e la copertura LTS.

Prima di apportare modifiche, annota la versione del sistema host, l'architettura, il kernel, i servizi attivi e i socket in ascolto:

cat /etc/os-release
dpkg --print-architecture
uname -r
systemctl --failed
sudo ss -tulpn

La copertura LTS di Bookworm è limitata alle architetture elencate ed esclude alcuni pacchetti. Consulta le informazioni sui pacchetti LTS di Bookworm per Debian , soprattutto se il sistema esegue software al di fuori dell'archivio principale di Debian. Il punteggio CIS non amplia l'ambito del supporto di sicurezza di Debian.

2. Aggiornare il sistema in modo sicuro

Verifica che le sorgenti APT utilizzino il bookwormnome in codice e includano le sorgenti di sicurezza/LTS di Debian correnti per questa installazione. Evita di modificare le sorgenti di un server di produzione da bookworma stablecome scorciatoia; l'alias stabile ora punta a Debian 13 e può trasformare un aggiornamento di sicurezza in un aggiornamento della distribuzione.

sudo apt update
sudo apt upgrade

Esamina le modifiche proposte ai pacchetti prima di confermarle. Pianifica una finestra di manutenzione per gli aggiornamenti che sostituiscono un kernel o riavviano un servizio critico. Non utilizzare full-upgradesenza aver prima esaminato le rimozioni dei pacchetti e le modifiche alle dipendenze. Per l'applicazione automatica delle patch, unattended-upgradesil pacchetto di Debian può automatizzare l'installazione da sorgenti APT configurate; valuta se i riavvii automatici e i riavvii delle applicazioni sono compatibili con la politica di modifica dell'host prima di abilitarli.

3. Inventariare il software e rimuovere solo ciò che non è necessario per il ruolo.

Utilizza l'inventario dei servizi e l'elenco delle porte in ascolto per identificare esposizioni di rete impreviste. Verifica la proprietà dei pacchetti prima di rimuovere un demone e conferma se un servizio è richiesto dall'applicazione, dall'agente di monitoraggio, dal software di backup o dall'automazione locale. La disabilitazione di un servizio può interrompere una dipendenza non evidente dal suo nome.

systemctl --type=service --state=running
sudo ss -lntup
apt-mark showmanual

Rimuovere i pacchetti non utilizzati tramite APT solo dopo che il proprietario ne abbia confermato la non necessità. Per i servizi che devono rimanere installati ma non devono avviarsi, documentare il motivo e utilizzare la raccomandazione CIS specifica per il profilo selezionato. Evitare comandi che disabilitano tutti i servizi di una categoria o che rimuovono pacchetti in blocco.

4. Rafforza la sicurezza SSH senza bloccare l'accesso.

Per un server gestito tramite SSH, crea e testa un account amministratore con nome sudoprima di limitare l'accesso come root o tramite password. Verifica che l'accesso basato su chiave funzioni da una seconda sessione del terminale e che tu possa raggiungere la console. Quindi applica solo le impostazioni SSH richieste dal tuo profilo e modello operativo. I controlli comuni includono la prevenzione dell'accesso diretto come root e la limitazione dell'autenticazione tramite password, ma questi non sono sicuri da applicare prima che esista un altro metodo di autenticazione funzionante.

Dopo aver modificato /etc/ssh/sshd_configun file di configurazione incluso, convalidare la sintassi e i valori effettivi, quindi ricaricare SSH:

sudo sshd -t
sudo sshd -T | grep -E 'permitrootlogin|passwordauthentication'
sudo systemctl reload ssh

Mantieni aperta la sessione corrente e prova un nuovo accesso prima di chiuderla. Se è necessario un accesso centralizzato all'identità o alla password di emergenza, non disabilitare tale percorso finché non avrai testato la soluzione alternativa. Il manuale del server OpenSSH Bookworm di Debian documenta le impostazioni supportate; il benchmark fornisce i valori target applicabili.

5. Configurare un firewall host con il traffico richiesto

Scegliete un metodo di gestione del firewall adatto all'host, come nftables o un firewall gestito tramite orchestrazione già esistente, e utilizzate un unico set di regole autorevole. Prima di imporre una policy di blocco in entrata predefinita, consentite il percorso di gestione e ogni servizio che il server deve fornire. Una regola errata può disconnettere un host remoto o interrompere un controllo di integrità senza modificare l'applicazione stessa.

sudo nft list ruleset

Confronta le regole in tempo reale con la configurazione di rete approvata, quindi esegui un test da un host esterno autorizzato. Se la tua organizzazione utilizza un gestore firewall come UFW, esamina le sue regole tramite tale gestore anziché sovrapporre un set di regole indipendente. Il manuale di nftables di Debian descrive la sintassi del comando; la lista di elementi consentiti corretta dipende dal ruolo del server e dalla segmentazione della rete.

6. Verifica AppArmor ed evita di indebolire il confinamento dell'applicazione

AppArmor è il framework di controllo degli accessi obbligatorio supportato da Debian. Verifica che sia installato, abilitato e che applichi i profili per i servizi rilevanti:

sudo aa-status
systemctl status apparmor

Se AppArmor non è presente, innanzitutto verificare se l'immagine host o la policy di sicurezza utilizzano intenzionalmente un altro modulo di sicurezza Linux. Non installare o imporre nuovi profili in produzione senza prima averne testato il comportamento. Un profilo in modalità di segnalazione registra le violazioni della policy ma non le blocca; la modalità di applicazione può impedire l'accesso non autorizzato a file o reti, e un profilo testato in modo inadeguato può anche compromettere un servizio legittimo.

La documentazione del pacchetto Bookworm AppArmor di Debian descrive i componenti dello spazio utente. Applica esattamente le raccomandazioni del benchmark per lo stato del profilo e le eccezioni, anziché presumere che la sola installazione del pacchetto sia sufficiente.

7. Aggiungi la conservazione dei log e delle attività di audit che puoi effettivamente monitorare

Se richiesto dal profilo CIS selezionato, installa e abilita il demone di audit di Debian, quindi applica le regole del benchmark corrente e del tuo processo di gestione delle modifiche:

sudo apt install auditd
sudo systemctl enable --now auditd
sudo systemctl status auditd
sudo auditctl -l

Verificate che le regole previste vengano caricate dopo il riavvio e che i record di audit vengano raccolti, conservati e protetti dagli utenti non autorizzati. Le regole di audit possono aumentare il volume di archiviazione e degli eventi, quindi è importante dimensionare la conservazione e gli avvisi in base al carico di lavoro dell'host. Se i log vengono inoltrati centralmente, verificate anche lì la consegna e i controlli di accesso. La pagina del pacchetto Bookworm auditd di Debian spiega che fornisce utilità per l'archiviazione e la ricerca dei record di audit del kernel; l'installazione non configura automaticamente l'intero set di regole CIS.

8. Esaminare i controlli del kernel, del filesystem e degli account confrontandoli con l'elenco di controllo esatto

Esamina attentamente i controlli del benchmark relativi ai parametri del kernel, ai permessi dei file, alla politica delle password, ai banner di accesso, alle attività pianificate e alle opzioni di montaggio del filesystem. Queste impostazioni dipendono dal ruolo dell'host. Ad esempio, noexecl'utilizzo di un filesystem temporaneo potrebbe entrare in conflitto con un programma di installazione o un'applicazione che esegue file in tale file; la disabilitazione di IPv6 può compromettere una rete che lo utilizza; e una gestione restrittiva della scadenza degli account può entrare in conflitto con le identità gestite centralmente.

Per ogni raccomandazione, acquisire il risultato dell'audit, il valore richiesto, il valore effettivo e se la modifica è applicabile. Applicare le impostazioni correlate in un file di configurazione gestito o in un sistema di gestione della configurazione, quindi verificare lo stato effettivo in fase di esecuzione. Evitare comandi ricorsivi generici chmod: chownpossono danneggiare silenziosamente la proprietà dei pacchetti, l'accesso alle applicazioni e il ripristino del sistema.

9. Valutare, porre rimedio e documentare le eccezioni

Eseguire uno strumento di valutazione che supporti esplicitamente CIS Debian Linux 12 Benchmark v2.0.0 e il profilo selezionato al passaggio 1. CIS elenca le risorse di valutazione e automazione nella sua pagina dedicata al benchmark Debian; alcune sono disponibili solo per i membri di CIS SecureSuite. Una checklist in formato PDF può essere utile per la revisione manuale, ma non implica la conformità da uno scanner Linux generico o da un benchmark CIS per Debian 13.

Correggere le anomalie riscontrate in piccoli lotti. Dopo ogni lotto, verificare l'accesso, lo stato di salute dell'applicazione, le porte necessarie, i backup programmati, la raccolta dei log e il monitoraggio. Eseguire nuovamente la valutazione e confrontare il risultato con il report precedente. Per ogni deviazione accettata, registrare il controllo, la motivazione, la misura compensativa, il responsabile e la data di revisione. La dicitura "Non applicabile" deve essere supportata da prove, non utilizzata per migliorare il punteggio.

Lista di controllo operativa

• Utilizzare la versione corrente del benchmark Debian 12 v2.0.0 e il profilo server corretto.
• Mantieni aggiornate le fonti di sicurezza di Bookworm e verifica la copertura LTS per l'architettura e i pacchetti di questo host.
• È fondamentale preservare un percorso di ripristino prima di modificare il comportamento di SSH, firewall, avvio o file system.
• Eseguire prima i test di livello 2 e le modifiche che hanno un impatto sull'applicazione al di fuori dell'ambiente di produzione.
• Registra i risultati della valutazione, le eccezioni, gli aggiornamenti dei pacchetti e lo stato del riavvio.
• Se il carico di lavoro lo consente, pianificate la migrazione a Debian 13 prima della fine del supporto LTS di Debian 12, prevista per il 30 giugno 2028.

La protezione può ridurre l'esposizione, ma la conformità allo standard CIS si ottiene valutando la versione e il profilo specifici del benchmark, applicando i controlli richiesti, convalidando il risultato e documentando le eccezioni autorizzate. Non garantisce la sicurezza di un host né sostituisce la valutazione di conformità dell'organizzazione.