Guia de Reforço de Segurança do Debian 12 CIS: Uma Linha de Base Passo a Passo para Servidores

O que mudou no Debian 12 e em sua versão base CIS?

O Debian 12 “Bookworm” entrou na fase Debian LTS em 12 de julho de 2026. O suporte de segurança está programado até 30 de junho de 2028, enquanto o Debian 13 é atualmente a versão estável. O Debian recomenda a atualização para o Debian 13 sempre que possível. Se você precisar manter o Bookworm, confirme se a arquitetura da sua CPU e os pacotes instalados ainda estão cobertos pelo LTS, mantenha as fontes de segurança do Bookworm configuradas e planeje uma migração testada antes do fim do período de suporte.

A lista atual do CIS inclui o CIS Debian Linux 12 Benchmark v2.0.0 . O CIS anunciou esta versão como uma atualização substancial em 2026: foram adicionadas, removidas, movidas e revisadas recomendações. Listas de verificação e automações mais antigas do Debian 12 podem, portanto, ter como alvo uma linha de base diferente. Este guia usa o benchmark v2.0.0 como referência de avaliação, mas não reproduz todos os controles nem afirma que um resultado foi aprovado. Use o benchmark e o perfil exatos aceitos pela sua organização.

Referências: Anúncio da transição do Bookworm LTS do Debian , lista de benchmarks do Debian da CIS e atualização de benchmarks da CIS de junho de 2026 .

Antes do endurecimento: selecione um perfil e um caminho de recuperação.

O fortalecimento da segurança CIS não é um script genérico. Um perfil de Nível 1 é um ponto de partida prático para muitos servidores de produção; o Nível 2 adiciona defesa em profundidade e pode ter um impacto maior na compatibilidade e nas operações. A CIS recomenda testar as recomendações escolhidas primeiro em um ambiente de não produção. Se um órgão regulador, contrato com o cliente ou política interna especificar um perfil, siga esse requisito específico.

• Registre o alvo como Debian 12 Bookworm, a versão do benchmark CIS e o perfil de servidor aplicável.
• Faça um backup de teste ou um snapshot da máquina virtual e confirme o acesso ao console ou fora da banda antes de alterar as configurações de login remoto ou firewall.
• Anote os serviços, portas, usuários, tarefas agendadas, pontos de montagem e dependências de aplicativos necessários.
• Defina quem pode aprovar exceções e onde os relatórios de digitalização e os registros de alterações serão armazenados.

O CIS descreve o Nível 1 como um perfil básico e o Nível 2 como um perfil de defesa em profundidade mais restritivo. Consulte as perguntas frequentes oficiais do CIS sobre perfis antes de escolher entre eles.

1. Confirme a versão do Debian e a cobertura LTS.

Antes de fazer alterações, capture a versão, a arquitetura, o kernel, os serviços ativos e os sockets de escuta do host:

cat /etc/os-release
dpkg --print-architecture
uname -r
systemctl --failed
sudo ss -tulpn

A cobertura LTS do Bookworm é limitada às arquiteturas listadas e exclui alguns pacotes. Verifique as informações do pacote Bookworm LTS do Debian , especialmente se a máquina executar software fora do repositório principal do Debian. Uma pontuação CIS não expande o escopo de suporte de segurança do Debian.

2. Atualize o sistema com segurança.

Confirme se as fontes do APT usam o bookwormcodinome e incluem as fontes de segurança/LTS atuais do Debian para esta instalação. Evite alterar as fontes de um servidor de produção de `<nome_do_servidor>` bookwormpara stable`<nome_do_servidor>` como um atalho; o alias estável agora aponta para o Debian 13 e pode transformar uma atualização de segurança em uma atualização de distribuição.

sudo apt update
sudo apt upgrade

Analise as alterações propostas nos pacotes antes de confirmá-las. Agende uma janela de manutenção para atualizações que substituam um kernel ou reiniciem um serviço crítico. Não utilize o pacote full-upgradesem antes analisar as remoções de pacotes e as alterações de dependências. Para aplicação de patches automatizada, unattended-upgradeso pacote do Debian pode automatizar a instalação a partir de fontes APT configuradas; avalie se as reinicializações automáticas e as reinicializações de aplicativos estão de acordo com a política de alterações do host antes de habilitá-las.

3. Faça um inventário do software e remova apenas o que a função não precisa.

Use seu inventário de serviços e a lista de portas de escuta para identificar exposições inesperadas na rede. Verifique a propriedade do pacote antes de remover um daemon e confirme se um serviço é necessário para o aplicativo, agente de monitoramento, software de backup ou automação local. Desativar um serviço pode quebrar uma dependência que não é óbvia pelo nome.

systemctl --type=service --state=running
sudo ss -lntup
apt-mark showmanual

Remova pacotes não utilizados via APT somente após o proprietário confirmar que não são necessários. Para serviços que devem permanecer instalados, mas não devem ser iniciados, documente o motivo e siga a recomendação exata do CIS para o perfil selecionado. Evite comandos que desabilitem todos os serviços de uma categoria ou removam pacotes em massa.

4. Reforce a segurança SSH sem se bloquear completamente.

Para um servidor gerenciado por SSH, crie e teste uma conta de administrador nomeada sudoantes de restringir o login do usuário root ou o login por senha. Confirme se o login baseado em chave funciona a partir de uma segunda sessão de terminal e se você consegue acessar o console. Em seguida, aplique apenas as configurações de SSH necessárias para o seu perfil e modelo operacional. Controles comuns incluem impedir o login direto do usuário root e limitar a autenticação por senha, mas não é seguro aplicá-los antes que outro método de autenticação funcional esteja disponível.

Após editar /etc/ssh/sshd_configou incluir um arquivo de configuração, valide a sintaxe e os valores efetivos e, em seguida, recarregue o SSH:

sudo sshd -t
sudo sshd -T | grep -E 'permitrootlogin|passwordauthentication'
sudo systemctl reload ssh

Mantenha a sessão existente aberta e teste um novo login antes de fechá-la. Se for necessário acesso centralizado à identidade ou senha de emergência, não desabilite esse caminho até que a alternativa tenha sido testada. O manual do servidor OpenSSH Bookworm do Debian documenta as configurações suportadas; o benchmark fornece os valores de destino aplicáveis.

5. Configure um firewall de host com o tráfego necessário.

Escolha um método de gerenciamento de firewall adequado ao host — como nftables ou um firewall gerenciado por orquestração já existente — e utilize um conjunto de regras autoritativo. Antes de impor uma política de negação de entrada por padrão, permita o caminho de gerenciamento e todos os serviços que o servidor precisa fornecer. Uma regra incorreta pode desconectar um host remoto ou interromper uma verificação de integridade sem alterar o próprio aplicativo.

sudo nft list ruleset

Compare as regras em tempo real com o projeto de rede aprovado e, em seguida, teste a partir de um host externo autorizado. Se sua organização utiliza um gerenciador de firewall como o UFW, inspecione as regras por meio desse gerenciador, em vez de adicionar um conjunto de regras independente por cima. O manual do nftables do Debian descreve a sintaxe do comando; a lista de permissões correta depende da função do servidor e da segmentação da rede.

6. Verifique o AppArmor e evite enfraquecer o confinamento do aplicativo.

O AppArmor é o framework de Controle de Acesso Obrigatório (MAC) suportado pelo Debian. Verifique se ele está instalado, habilitado e aplicando perfis para os serviços importantes:

sudo aa-status
systemctl status apparmor

Caso o AppArmor esteja ausente, determine primeiro se a imagem do host ou a política de segurança utiliza intencionalmente outro módulo de segurança do Linux. Não instale ou imponha novos perfis em produção sem testar o comportamento da aplicação. Um perfil no modo de reclamação registra violações de política, mas não as bloqueia; o modo de imposição pode impedir o acesso não autorizado a arquivos ou à rede, e um perfil mal testado também pode interromper um serviço legítimo.

A documentação do pacote AppArmor do Bookworm do Debian descreve os componentes do espaço do usuário. Aplique a recomendação exata do benchmark para o status do perfil e exceções, em vez de presumir que a instalação do pacote por si só a satisfaz.

7. Adicione auditoria e retenção de logs que você possa de fato monitorar.

Caso seja exigido pelo perfil CIS selecionado, instale e habilite o daemon de auditoria do Debian e, em seguida, aplique as regras do benchmark atual e do seu processo de controle de alterações:

sudo apt install auditd
sudo systemctl enable --now auditd
sudo systemctl status auditd
sudo auditctl -l

Verifique se as regras esperadas são carregadas após a reinicialização e se os registros de auditoria são coletados, retidos e protegidos contra acessos de usuários comuns. As regras de auditoria podem aumentar o volume de armazenamento e eventos, portanto, considere o tamanho da retenção e os alertas para a carga de trabalho do host. Se os logs forem encaminhados para um servidor central, confirme também a entrega e os controles de acesso nesse servidor. A página do pacote auditd do Bookworm no Debian explica que ele fornece utilitários para armazenar e pesquisar registros de auditoria do kernel; a instalação não configura automaticamente o conjunto completo de regras CIS.

8. Verifique os controles do kernel, do sistema de arquivos e da conta comparando-os com a lista de verificação exata.

Analise os controles do benchmark para parâmetros do kernel, permissões de arquivos, política de senhas, banners de login, tarefas agendadas e opções de montagem do sistema de arquivos. Essas configurações dependem da função do host. Por exemplo, noexecum sistema de arquivos temporário pode entrar em conflito com um instalador ou aplicativo que execute arquivos nesse local; desabilitar o IPv6 pode interromper uma rede que o utiliza; e o envelhecimento restritivo de contas pode entrar em conflito com identidades gerenciadas centralmente.

Para cada recomendação, registre o resultado da auditoria, o valor necessário, o valor real e se a alteração é aplicável. Aplique as configurações relacionadas em um arquivo de configuração gerenciado ou em um sistema de gerenciamento de configuração e, em seguida, verifique o estado efetivo em tempo de execução. Evite comandos recursivos amplos chmod: chowneles podem danificar silenciosamente a propriedade do pacote, o acesso ao aplicativo e a recuperação do sistema.

9. Avaliar, corrigir e documentar as exceções.

Execute uma ferramenta de avaliação que suporte explicitamente o CIS Debian Linux 12 Benchmark v2.0.0 e o perfil selecionado na etapa 1. A CIS lista recursos de avaliação e automação em sua página de benchmarks do Debian; alguns estão disponíveis apenas para membros do CIS SecureSuite. Uma lista de verificação em PDF pode auxiliar na revisão manual, mas não infere conformidade a partir de um scanner genérico de Linux ou de um benchmark CIS para Debian 13.

Corrija as constatações em pequenos lotes. Após cada lote, verifique o acesso, a integridade do aplicativo, as portas necessárias, os backups agendados, a coleta de logs e o monitoramento. Execute a avaliação novamente e compare o resultado com o relatório anterior. Para cada desvio aceito, registre o controle, o motivo, a medida compensatória, o responsável e a data da revisão. A expressão "Não aplicável" deve ser justificada por evidências e não usada para melhorar a pontuação.

Lista de verificação operacional

• Utilize o benchmark atual do Debian 12 v2.0.0 e o perfil de servidor correto.
• Mantenha as fontes de segurança do Bookworm atualizadas e confirme a cobertura LTS para a arquitetura e os pacotes deste host.
• Mantenha um caminho de recuperação antes de alterar o comportamento do SSH, firewall, inicialização ou sistema de arquivos.
• Primeiro, teste o Nível 2 e as alterações que afetam a aplicação fora do ambiente de produção.
• Registre os resultados da avaliação, exceções, atualizações de pacotes e status de reinicialização.
• Planeje a migração para o Debian 13 antes do fim do suporte ao Debian 12 LTS em 30 de junho de 2028, sempre que a carga de trabalho permitir.

O fortalecimento da segurança pode reduzir a exposição, mas a conformidade com o CIS é estabelecida por meio da avaliação da versão e do perfil de referência específicos, da aplicação dos controles necessários, da validação do resultado e da documentação das exceções autorizadas. Isso não garante que um host seja seguro nem substitui a avaliação de conformidade da organização.