Ghid de consolidare a securității CIS pentru Debian 12: O linie de bază a serverului pas cu pas

Ce s-a schimbat pentru Debian 12 și sistemul său de bază CIS

Debian 12 „Bookworm” a intrat în faza Debian LTS pe 12 iulie 2026. Asistența de securitate este programată până pe 30 iunie 2028, în timp ce Debian 13 este acum versiunea stabilă actuală. Debian recomandă actualizarea la Debian 13 acolo unde este posibil. Dacă trebuie să păstrați Bookworm, confirmați că arhitectura procesorului și pachetele instalate rămân acoperite de LTS, păstrați sursele de securitate Bookworm configurate și planificați o migrare testată înainte de închiderea ferestrei de asistență.

Lista CIS actuală include CIS Debian Linux 12 Benchmark v2.0.0 . CIS a anunțat aceasta ca o actualizare substanțială în 2026: a adăugat, eliminat, mutat și revizuit recomandări. Prin urmare, listele de verificare și automatizarea mai vechi pentru Debian 12 pot viza o linie de bază diferită. Acest ghid folosește benchmark-ul v2.0.0 ca referință de evaluare, dar nu reproduce fiecare control și nu pretinde un rezultat de trecere. Folosește benchmark-ul și profilul exact acceptate de organizația ta.

Referințe: Anunțul de predare a Bookworm LTS de la Debian , listarea benchmark-urilor Debian de la CIS și actualizarea benchmark-urilor de la CIS din iunie 2026 .

Înainte de consolidare: selectați un profil și o cale de recuperare

Consolidarea CIS nu este un script shell universal. Un profil de Nivel 1 este un punct de plecare practic pentru multe servere de producție; Nivelul 2 adaugă o apărare în profunzime și poate avea un efect mai puternic asupra compatibilității și operațiunilor. CIS recomandă testarea mai întâi a recomandărilor alese într-un mediu non-producție. Dacă o autoritate de reglementare, un contract cu clientul sau o politică internă denumește un profil, urmați acea cerință specifică.

• Înregistrați ținta ca Debian 12 Bookworm, versiunea de benchmark CIS și profilul de server aplicabil.
• Realizați o copie de rezervă testată sau o instantanee a mașinii virtuale și confirmați accesul la consolă sau în afara benzii înainte de a modifica setările de conectare la distanță sau de firewall.
• Notați serviciile, porturile, utilizatorii, joburile programate, punctele de montare și dependențele aplicațiilor necesare.
• Definiți cine poate aproba excepțiile și unde vor fi păstrate rapoartele de scanare și înregistrările modificărilor.

CIS descrie Nivelul 1 ca profil de bază și Nivelul 2 ca profil de apărare în profunzime mai restrictiv. Consultați Întrebările frecvente oficiale despre profilul CIS înainte de a alege între ele.

1. Confirmați lansarea Debian și acoperirea LTS

Capturați versiunea, arhitectura, kernelul, serviciile active și socket-urile de ascultare ale gazdei înainte de a face modificări:

cat /etc/os-release
dpkg --print-architecture
uname -r
systemctl --failed
sudo ss -tulpn

Acoperirea LTS a Bookworm este limitată la arhitecturile listate și exclude unele pachete. Verificați informațiile despre pachetul Bookworm LTS al Debian , în special dacă mașina rulează software în afara arhivei principale Debian. Un scor CIS nu extinde domeniul de aplicare al suportului de securitate al Debian.

2. Actualizați sistemul în siguranță

Confirmați că sursele APT utilizează bookwormnumele de cod și includeți sursele actuale de securitate/LTS Debian pentru această instalare. Evitați schimbarea surselor unui server de producție de bookwormla la stableca scurtătură; aliasul stabil indică acum către Debian 13 și poate transforma o actualizare de securitate într-o actualizare a distribuției.

sudo apt update
sudo apt upgrade

Verificați modificările propuse ale pachetului înainte de a le confirma. Programați o fereastră de mentenanță pentru actualizările care înlocuiesc un kernel sau repornesc un serviciu critic. Nu utilizați full-upgradefără a verifica eliminările de pachete și modificările dependențelor. Pentru aplicarea nesupravegheată a patch-urilor, pachetul Debian unattended-upgradespoate automatiza instalarea din surse APT configurate; decideți dacă repornirile automate și repornirile aplicațiilor se potrivesc politicii de modificare a gazdei înainte de a le activa.

3. Inventarierea software-ului și eliminarea doar a ceea ce nu este necesar rolului

Folosește inventarul serviciilor și lista de porturi de ascultare pentru a identifica expunerea neașteptată la rețea. Verifică proprietarul pachetului înainte de a elimina un daemon și confirmă dacă un serviciu este necesar de aplicație, agentul de monitorizare, software-ul de backup sau automatizarea locală. Dezactivarea unui serviciu poate întrerupe o dependență care nu este evidentă din numele său.

systemctl --type=service --state=running
sudo ss -lntup
apt-mark showmanual

Eliminați pachetele neutilizate prin APT numai după ce proprietarul a confirmat că nu sunt necesare. Pentru serviciile care trebuie să rămână instalate, dar nu ar trebui să pornească, documentați motivul și utilizați recomandarea CIS exactă pentru profilul selectat. Evitați comenzile care dezactivează fiecare serviciu dintr-o categorie sau elimină pachetele în bloc.

4. Consolidați SSH fără a vă bloca

Pentru un server gestionat prin SSH, creați și testați un cont de administrator denumit cu sudoînainte de a restricționa autentificarea root sau prin parolă. Confirmați că autentificarea bazată pe cheie funcționează dintr-o a doua sesiune de terminal și că puteți accesa consola. Apoi, aplicați doar setările SSH necesare profilului și modelului operațional. Controalele comune includ prevenirea autentificării directe root și limitarea autentificării prin parolă, dar acestea nu sunt sigure pentru a fi aplicate înainte de a exista o altă metodă de autentificare funcțională.

După editarea /etc/ssh/sshd_configunui fișier de configurare inclus, validați sintaxa și valorile efective, apoi reîncărcați SSH-ul:

sudo sshd -t
sudo sshd -T | grep -E 'permitrootlogin|passwordauthentication'
sudo systemctl reload ssh

Păstrați sesiunea existentă deschisă și testați o nouă autentificare înainte de a o închide. Dacă este necesară o identitate centralizată sau acces prin parolă de urgență, nu dezactivați acea cale până când înlocuirea nu a fost testată. Manualul serverului Bookworm OpenSSH de la Debian documentează setările acceptate; benchmark-ul oferă valorile țintă aplicabile.

5. Configurați un firewall gazdă cu traficul necesar

Alegeți o metodă de gestionare a firewall-ului care se potrivește gazdei - cum ar fi nftables sau un firewall existent gestionat de orchestrare - și utilizați un set de reguli autoritare. Înainte de a aplica o politică implicită de refuzare a intrărilor, permiteți calea de gestionare și fiecare serviciu pe care serverul trebuie să îl furnizeze. O regulă incorectă poate deconecta o gazdă la distanță sau poate întrerupe o verificare a stării de funcționare fără a modifica aplicația în sine.

sudo nft list ruleset

Comparați regulile live cu designul de rețea aprobat, apoi testați de pe o gazdă externă autorizată. Dacă organizația dvs. folosește un manager de firewall, cum ar fi UFW, inspectați regulile acestuia prin intermediul acelui manager, în loc să adăugați un set de reguli independent deasupra. Manualul nftables al Debian descrie sintaxa comenzii; lista de permisiuni corectă depinde de rolul serverului și de segmentarea rețelei.

6. Verificați AppArmor și evitați slăbirea confinării aplicațiilor

AppArmor este framework-ul de control al accesului obligatoriu acceptat de Debian. Verificați dacă este instalat, activat și aplică profiluri pentru serviciile relevante:

sudo aa-status
systemctl status apparmor

Dacă AppArmor lipsește, stabiliți mai întâi dacă imaginea gazdă sau politica de securitate utilizează intenționat un alt modul de securitate Linux. Nu instalați și nu impuneți profiluri noi în producție fără a testa comportamentul aplicației. Un profil în modul de reclamație înregistrează încălcările politicii, dar nu le blochează; modul de aplicare poate opri accesul neautorizat la fișiere sau la rețea, iar un profil testat prost poate, de asemenea, să întrerupă un serviciu legitim.

Documentația pachetului Bookworm AppArmor de la Debian descrie componentele spațiului utilizator. Aplicați recomandarea exactă de benchmark pentru starea profilului și excepții, în loc să presupuneți că instalarea pachetului o satisface.

7. Adăugați audit și păstrarea jurnalelor pe care le puteți monitoriza efectiv

Dacă profilul CIS selectat impune acest lucru, instalați și activați daemonul de audit Debian, apoi aplicați regulile din benchmark-ul curent și din procesul de control al modificărilor:

sudo apt install auditd
sudo systemctl enable --now auditd
sudo systemctl status auditd
sudo auditctl -l

Verificați dacă regulile așteptate se încarcă după repornire și dacă înregistrările de audit sunt colectate, păstrate și protejate de utilizatorii obișnuiți. Regulile de audit pot crește spațiul de stocare și volumul de evenimente, deci pot crește dimensiunea și alertarea pentru sarcina de lucru a gazdei. Dacă jurnalele sunt redirecționate centralizat, confirmați și acolo livrarea și controalele de acces. Pagina pachetului auditd al Bookworm din Debian explică faptul că oferă utilitare pentru stocarea și căutarea înregistrărilor de audit ale kernelului; instalarea acestuia nu configurează automat setul complet de reguli CIS.

8. Verificați controalele kernelului, sistemului de fișiere și contului în funcție de lista exactă de verificare

Lucrați cu controalele testului de performanță pentru parametrii kernelului, permisiunile fișierelor, politica de parolă, bannerele de conectare, sarcinile programate și opțiunile de montare a sistemului de fișiere. Aceste setări depind de rolul gazdei. De exemplu, noexecpe un sistem de fișiere temporar se poate produce un conflict cu un instalator sau o aplicație care execută fișiere acolo; dezactivarea IPv6 poate deteriora o rețea care îl utilizează; iar îmbătrânirea restrictivă a contului poate intra în conflict cu identitățile gestionate central.

Pentru fiecare recomandare, capturați rezultatul auditului, valoarea necesară, valoarea reală și dacă modificarea este aplicabilă. Aplicați setările aferente într-un fișier de configurare gestionat sau într-un sistem de gestionare a configurației, apoi verificați starea efectivă de execuție. Evitați comenzile recursive chmodsau cele ample chown: acestea pot afecta în mod silențios proprietatea asupra pachetelor, accesul la aplicații și recuperarea sistemului.

9. Evaluați, remediați și documentați excepțiile

Rulați un instrument de evaluare care acceptă în mod explicit CIS Debian Linux 12 Benchmark v2.0.0 și profilul selectat la pasul 1. CIS listează resursele de evaluare și automatizare pe pagina sa de benchmark Debian; unele sunt disponibile doar membrilor CIS SecureSuite. O listă de verificare PDF poate susține revizuirea manuală, dar nu deduce conformitatea dintr-un scaner Linux generic sau dintr-un benchmark CIS pentru Debian 13.

Remediați constatările în loturi mici. După fiecare lot, verificați accesul, starea aplicației, porturile necesare, copiile de rezervă programate, colectarea jurnalelor și monitorizarea. Reluați evaluarea și comparați rezultatul cu raportul anterior. Pentru fiecare abatere acceptată, înregistrați controlul, motivul, măsura compensatorie, proprietarul și data revizuirii. „Nu se aplică” trebuie susținut de dovezi, nu utilizat pentru a îmbunătăți scorul.

Listă de verificare operațională

• Folosește benchmark-ul actual Debian 12 v2.0.0 și profilul corect de server.
• Mențineți sursele de securitate ale Bookworm la zi și confirmați acoperirea LTS pentru arhitectura și pachetele acestei gazde.
• Păstrați o cale de recuperare înainte de a modifica comportamentul SSH, firewall-ului, bootării sau sistemului de fișiere.
• Testați mai întâi Nivelul 2 și modificările cu impact asupra aplicației în afara producției.
• Înregistrați rezultatele evaluării, excepțiile, actualizările pachetului și starea repornirii.
• Planificați migrarea către Debian 13 înainte de sfârșitul versiunii Debian 12 LTS, pe 30 iunie 2028, acolo unde volumul de lucru permite.

Consolidarea securității poate reduce expunerea, dar alinierea CIS se stabilește prin evaluarea versiunii și profilului specific de referință, aplicarea controalelor necesare, validarea rezultatului și documentarea excepțiilor autorizate. Nu este o garanție că o gazdă este sigură sau un substitut pentru evaluarea conformității organizației.