Przewodnik po wzmacnianiu CIS w systemie Debian 12: krok po kroku konfiguracja bazowa serwera

Co zmieniło się w Debianie 12 i jego linii bazowej CIS

Debian 12 „Bookworm” wszedł w fazę Debian LTS 12 lipca 2026 roku. Wsparcie bezpieczeństwa jest planowane do 30 czerwca 2028 roku, a Debian 13 jest obecnie aktualną wersją stabilną. Debian zaleca aktualizację do Debiana 13, jeśli jest to możliwe. Jeśli musisz zachować Bookworm, upewnij się, że architektura procesora i zainstalowane pakiety są nadal objęte LTS, zadbaj o konfigurację źródeł bezpieczeństwa Bookworm i zaplanuj przetestowaną migrację przed zamknięciem okresu wsparcia.

Aktualna lista CIS zawiera test porównawczy CIS Debian Linux 12 w wersji 2.0.0 . CIS ogłosił to jako istotną aktualizację w 2026 roku: dodano, usunięto, przeniesiono i poprawiono rekomendacje. Starsze listy kontrolne i automatyzacja Debiana 12 mogą zatem opierać się na innym punkcie odniesienia. Niniejszy przewodnik wykorzystuje test porównawczy w wersji 2.0.0 jako punkt odniesienia, ale nie odtwarza wszystkich kontroli ani nie deklaruje pozytywnego wyniku. Należy używać dokładnego testu porównawczego i profilu akceptowanego przez organizację.

Odnośniki: ogłoszenie o przekazaniu projektu Bookworm LTS przez Debian , lista testów porównawczych Debian CIS i aktualizacja testów porównawczych CIS z czerwca 2026 r .

Przed hartowaniem: wybierz profil i ścieżkę odzyskiwania

Wzmocnienie CIS nie jest uniwersalnym skryptem powłoki. Profil poziomu 1 stanowi praktyczny punkt wyjścia dla wielu serwerów produkcyjnych; poziom 2 zapewnia głęboką ochronę i może mieć silniejszy wpływ na kompatybilność i działanie. CIS zaleca najpierw przetestowanie wybranych rekomendacji w środowisku nieprodukcyjnym. Jeśli regulator, umowa z klientem lub wewnętrzna polityka określają profil, należy zastosować się do tego konkretnego wymogu.

• Jako cel zapisz Debian 12 Bookworm, wersję testu porównawczego CIS i odpowiedni profil serwera.
• Przed zmianą ustawień zdalnego logowania lub zapory wykonaj przetestowaną kopię zapasową lub migawkę maszyny wirtualnej i potwierdź dostęp do konsoli lub poza pasmem.
• Zapisz wymagane usługi, porty, użytkowników, zaplanowane zadania, punkty montowania i zależności aplikacji.
• Zdefiniuj, kto może zatwierdzać wyjątki i gdzie będą przechowywane raporty skanowania i rekordy zmian.

CIS opisuje Poziom 1 jako profil bazowy, a Poziom 2 jako bardziej restrykcyjny profil obrony w głąb. Przed wyborem zapoznaj się z oficjalnymi FAQ dotyczącymi profilu CIS .

1. Potwierdź wydanie Debiana i zasięg LTS

Przed wprowadzeniem zmian przechwyć wersję hosta, architekturę, jądro, aktywne usługi i gniazda nasłuchujące:

cat /etc/os-release
dpkg --print-architecture
uname -r
systemctl --failed
sudo ss -tulpn

Zakres LTS Bookworma jest ograniczony do wymienionych architektur i nie obejmuje niektórych pakietów. Sprawdź informacje o pakietach LTS Bookworma Debiana , szczególnie jeśli na komputerze działa oprogramowanie spoza głównego archiwum Debiana. Ocena CIS nie rozszerza zakresu wsparcia bezpieczeństwa Debiana.

2. Bezpiecznie zaktualizuj system

Upewnij się, że źródła APT używają bookwormnazwy kodowej i zawierają aktualne źródła Debian security/LTS dla tej instalacji. Unikaj zmiany źródeł serwera produkcyjnego z bookwormna stablejako skrótu; alias stable wskazuje teraz na Debiana 13 i może przekształcić aktualizację zabezpieczeń w aktualizację dystrybucji.

sudo apt update
sudo apt upgrade

Przejrzyj proponowane zmiany w pakietach przed ich zatwierdzeniem. Zaplanuj okno konserwacyjne na aktualizacje, które zastępują jądro lub restartują krytyczną usługę. Nie używaj full-upgradebez wcześniejszego sprawdzenia usuwania pakietów i zmian zależności. W przypadku nienadzorowanego instalowania poprawek, pakiet Debiana unattended-upgradesmoże zautomatyzować instalację ze skonfigurowanych źródeł APT; przed ich włączeniem zdecyduj, czy automatyczne restarty i restarty aplikacji są zgodne z polityką zmian hosta.

3. Przeprowadź inwentaryzację oprogramowania i usuń tylko to, czego rola nie potrzebuje

Użyj inwentarza usług i listy portów nasłuchujących, aby zidentyfikować nieoczekiwane narażenie sieci. Przed usunięciem demona sprawdź właściciela pakietu i potwierdź, czy usługa jest wymagana przez aplikację, agenta monitorującego, oprogramowanie do tworzenia kopii zapasowych lub automatyzację lokalną. Wyłączenie usługi może zerwać zależność, która nie wynika z jej nazwy.

systemctl --type=service --state=running
sudo ss -lntup
apt-mark showmanual

Nieużywane pakiety usuwaj za pomocą APT dopiero po potwierdzeniu przez właściciela, że ​​nie są potrzebne. W przypadku usług, które muszą pozostać zainstalowane, ale nie powinny się uruchamiać, należy udokumentować przyczynę i zastosować się do zaleceń CIS dla wybranego profilu. Należy unikać poleceń wyłączających wszystkie usługi w danej kategorii lub usuwających pakiety zbiorczo.

4. Zacieśnij SSH, nie blokując się

W przypadku serwera zarządzanego przez SSH, przed ograniczeniem logowania root lub hasłem utwórz i przetestuj nazwane konto administratora sudo. Upewnij się, że logowanie za pomocą klucza działa z drugiej sesji terminala i że masz dostęp do konsoli. Następnie zastosuj tylko ustawienia SSH wymagane przez Twój profil i model operacyjny. Typowe ustawienia obejmują blokowanie bezpośredniego logowania root i ograniczanie uwierzytelniania hasłem, ale ich stosowanie jest niebezpieczne, dopóki nie pojawi się inna, działająca metoda uwierzytelniania.

Po edycji /etc/ssh/sshd_configdołączonego pliku konfiguracyjnego należy sprawdzić składnię i prawidłowe wartości, a następnie ponownie załadować protokół SSH:

sudo sshd -t
sudo sshd -T | grep -E 'permitrootlogin|passwordauthentication'
sudo systemctl reload ssh

Pozostaw istniejącą sesję otwartą i przetestuj nowe logowanie przed jej zamknięciem. Jeśli wymagany jest scentralizowany dostęp do tożsamości lub awaryjne hasło, nie wyłączaj tej ścieżki, dopóki nie zostanie przetestowana nowa ścieżka. Podręcznik serwera OpenSSH w Debianie, Bookworm, dokumentuje obsługiwane ustawienia; test porównawczy podaje odpowiednie wartości docelowe.

5. Skonfiguruj jedną zaporę hosta z wymaganym ruchem

Wybierz metodę zarządzania zaporą sieciową dostosowaną do hosta – taką jak nftables lub istniejąca zapora sieciowa zarządzana przez orkiestrację – i użyj jednego autorytatywnego zestawu reguł. Przed wyegzekwowaniem polityki domyślnego blokowania ruchu przychodzącego, zezwól na ścieżkę zarządzania i wszystkie usługi, które serwer musi świadczyć. Nieprawidłowa reguła może rozłączyć hosta zdalnego lub przerwać kontrolę stanu bez zmiany samej aplikacji.

sudo nft list ruleset

Porównaj działające reguły z zatwierdzonym projektem sieci, a następnie przetestuj je z autoryzowanego hosta zewnętrznego. Jeśli Twoja organizacja korzysta z menedżera zapory sieciowej, takiego jak UFW, sprawdzaj jego reguły za jego pośrednictwem, zamiast nakładać na nie niezależny zestaw reguł. Podręcznik nftables Debiana opisuje składnię poleceń; właściwa lista dozwolonych zależy od roli serwera i segmentacji sieci.

6. Zweryfikuj AppArmor i unikaj osłabiania ograniczeń aplikacji

AppArmor to wspierany przez Debian framework obowiązkowej kontroli dostępu. Sprawdź, czy jest zainstalowany, włączony i wymusza profile dla istotnych usług:

sudo aa-status
systemctl status apparmor

Jeśli AppArmor jest nieobecny, najpierw sprawdź, czy obraz hosta lub polityka bezpieczeństwa celowo używa innego modułu bezpieczeństwa Linux. Nie instaluj ani nie wymuszaj nowych profili w środowisku produkcyjnym bez przetestowania działania aplikacji. Profil w trybie narzekania rejestruje naruszenia polityki, ale ich nie blokuje; tryb wymuszania może zablokować nieautoryzowany dostęp do pliku lub sieci, a źle przetestowany profil może również uszkodzić legalną usługę.

Dokumentacja pakietu Bookworm AppArmor w Debianie opisuje komponenty przestrzeni użytkownika. Zastosuj dokładne zalecenia dotyczące testów porównawczych dla statusu profilu i wyjątków, zamiast zakładać, że sama instalacja pakietu je spełnia.

7. Dodaj audyt i przechowywanie dzienników, które możesz faktycznie monitorować

Jeżeli wymaga tego wybrany profil CIS, zainstaluj i włącz demona audytu Debiana, a następnie zastosuj reguły z bieżącego testu porównawczego i procesu kontroli zmian:

sudo apt install auditd
sudo systemctl enable --now auditd
sudo systemctl status auditd
sudo auditctl -l

Sprawdź, czy oczekiwane reguły ładują się po ponownym uruchomieniu, a rekordy audytu są gromadzone, przechowywane i chronione przed zwykłymi użytkownikami. Reguły audytu mogą zwiększyć pojemność pamięci masowej i ilość zdarzeń, a tym samym zwiększyć retencję i alerty dotyczące obciążenia hosta. Jeśli logi są przekazywane centralnie, sprawdź również tam, czy działają mechanizmy dostarczania i kontroli dostępu. Strona pakietu Bookworm auditd w Debianie wyjaśnia, że ​​zawiera on narzędzia do przechowywania i wyszukiwania rekordów audytu jądra; jego instalacja nie konfiguruje automatycznie pełnego zestawu reguł CIS.

8. Sprawdź kontrolę jądra, systemu plików i konta, porównując ją z dokładną listą kontrolną

Przeanalizuj ustawienia benchmarku dotyczące parametrów jądra, uprawnień do plików, zasad haseł, banerów logowania, zaplanowanych zadań i opcji montowania systemu plików. Ustawienia te zależą od roli hosta. Na przykład, noexectymczasowy system plików może kolidować z instalatorem lub aplikacją uruchamiającą pliki; wyłączenie protokołu IPv6 może uszkodzić sieć, która go używa; a restrykcyjne starzenie się kont może kolidować z tożsamościami zarządzanymi centralnie.

Dla każdego zalecenia należy zapisać wynik audytu, wartość wymaganą, wartość rzeczywistą oraz informację, czy zmiana jest możliwa do zastosowania. Zastosuj powiązane ustawienia w zarządzanym pliku konfiguracyjnym lub systemie zarządzania konfiguracją, a następnie zweryfikuj efektywny stan środowiska wykonawczego. Unikaj szeroko zakrojonych poleceń rekurencyjnych chmodlub chownpoleceń: mogą one dyskretnie uszkodzić własność pakietów, dostęp do aplikacji i odzyskiwanie systemu.

9. Oceniaj, rozwiązuj i dokumentuj wyjątki

Uruchom narzędzie do oceny, które wyraźnie obsługuje test porównawczy CIS Debian Linux 12 w wersji 2.0.0 oraz profil wybrany w kroku 1. CIS wymienia zasoby do oceny i automatyzacji na swojej stronie poświęconej testom porównawczym Debiana; niektóre są dostępne tylko dla członków CIS SecureSuite. Lista kontrolna w formacie PDF może ułatwić ręczną weryfikację, ale nie pozwala na wyciągnięcie wniosku o zgodności z ogólnym skanerem Linuksa ani z testem porównawczym CIS dla Debiana 13.

Naprawiaj ustalenia w małych partiach. Po każdej partii zweryfikuj dostęp, stan aplikacji, wymagane porty, zaplanowane kopie zapasowe, gromadzenie logów i monitorowanie. Przeprowadź ponownie ocenę i porównaj wynik z poprzednim raportem. Dla każdego zaakceptowanego odchylenia zanotuj kontrolę, przyczynę, środek kompensacyjny, właściciela i datę przeglądu. „Nie dotyczy” powinno być poparte dowodami, a nie wykorzystywane do poprawy wyniku.

Lista kontrolna operacyjna

• Użyj aktualnego testu wydajności Debian 12 v2.0.0 i prawidłowego profilu serwera.
• Utrzymuj aktualność źródeł informacji o zabezpieczeniach serwisu Bookworm i sprawdź, czy architektura i pakiety tego hosta są objęte usługą LTS.
• Zachowaj ścieżkę odzyskiwania przed zmianą zachowania protokołu SSH, zapory sieciowej, rozruchu lub systemu plików.
• Najpierw przetestuj poziom 2 i zmiany wpływające na aplikację poza środowiskiem produkcyjnym.
• Rejestruj wyniki oceny, wyjątki, aktualizacje pakietów i status ponownego uruchomienia.
• Zaplanuj migrację do dystrybucji Debian 13 przed końcem okresu LTS Debian 12 przypadającym na 30 czerwca 2028 r., jeśli pozwoli na to obciążenie pracą.

Utwardzanie może zmniejszyć narażenie, ale zgodność z CIS jest ustalana poprzez ocenę konkretnej wersji i profilu benchmarku, zastosowanie wymaganych mechanizmów kontroli, walidację wyników i udokumentowanie autoryzowanych wyjątków. Nie stanowi to gwarancji bezpieczeństwa hosta ani nie zastępuje oceny zgodności organizacji.