Руководство по усилению безопасности серверов в Debian 12 CIS: пошаговое руководство по базовым настройкам сервера.

Что изменилось для Debian 12 и его базового стандарта CIS?

Debian 12 «Bookworm» перешёл в фазу долгосрочной поддержки (LTS) 12 июля 2026 года. Поддержка безопасности запланирована до 30 июня 2028 года, а Debian 13 в настоящее время является стабильным релизом. Debian рекомендует обновляться до Debian 13, если это возможно. Если вам необходимо сохранить Bookworm, убедитесь, что ваша архитектура процессора и установленные пакеты по-прежнему поддерживаются LTS, сохраните настроенные источники безопасности Bookworm и спланируйте проверенную миграцию до закрытия окна поддержки.

В текущем списке CIS указана версия 2.0.0 бенчмарка CIS Debian Linux 12. CIS объявила об этом существенном обновлении в 2026 году: были добавлены, удалены, перемещены и пересмотрены рекомендации. Поэтому более старые контрольные списки и средства автоматизации Debian 12 могут ориентироваться на другой базовый уровень. В этом руководстве в качестве эталона для оценки используется бенчмарк версии 2.0.0, но он не воспроизводит все контрольные пункты и не гарантирует прохождение теста. Используйте точный бенчмарк и профиль, принятые вашей организацией.

Источники: объявление о передаче LTS-версии Bookworm в Debian , список бенчмарков Debian от CIS и обновление бенчмарков CIS за июнь 2026 года .

Перед усилением безопасности: выберите профиль и путь восстановления.

Усиление защиты по стандартам CIS — это не универсальный скрипт. Профиль уровня 1 является практичной отправной точкой для многих производственных серверов; уровень 2 добавляет многоуровневую защиту и может оказать более сильное влияние на совместимость и работу. CIS рекомендует сначала протестировать выбранные рекомендации в непроизводственной среде. Если регулятор, договор с клиентом или внутренняя политика указывают на определенный профиль, следуйте именно этому требованию.

• В качестве целевой системы укажите Debian 12 Bookworm, версию из бенчмарка CIS и соответствующий профиль сервера.
• Перед изменением настроек удаленного входа или брандмауэра сделайте резервную копию или снимок виртуальной машины и подтвердите доступ к консоли или внеполосный доступ.
• Запишите необходимые службы, порты, пользователей, запланированные задания, точки монтирования и зависимости приложения.
• Определите, кто может утверждать исключения и где будут храниться отчеты о сканировании и записи об изменениях.

В CIS уровень 1 описывается как базовый, а уровень 2 — как более строгий профиль с многоуровневой защитой. Перед выбором между ними ознакомьтесь с официальным разделом часто задаваемых вопросов о профилях CIS .

1. Подтвердите релиз Debian и наличие поддержки LTS.

Перед внесением изменений определите версию хоста, архитектуру, ядро, активные службы и прослушивающие сокеты:

cat /etc/os-release
dpkg --print-architecture
uname -r
systemctl --failed
sudo ss -tulpn

Поддержка LTS в Bookworm ограничена перечисленными архитектурами и исключает некоторые пакеты. Проверьте информацию о пакетах Bookworm LTS в Debian , особенно если на машине установлено программное обеспечение, не входящее в основной архив Debian. Оценка CIS не расширяет область поддержки безопасности Debian.

2. Безопасно обновите систему.

Убедитесь, что в источниках APT используется bookwormкодовое имя и включены текущие источники Debian security/LTS для этой установки. Избегайте изменения источников на производственном сервере с bookwormна stableв качестве ярлыка; стабильный псевдоним теперь указывает на Debian 13 и может превратить обновление безопасности в обновление дистрибутива.

sudo apt update
sudo apt upgrade

Перед подтверждением ознакомьтесь с предлагаемыми изменениями в пакете. Запланируйте окно технического обслуживания для обновлений, которые заменяют ядро ​​или перезапускают критически важную службу. Не используйте full-upgradeбез предварительного ознакомления с удаленными пакетами и изменениями зависимостей. Для автоматического обновления пакетов Debian unattended-upgradesможет автоматизировать установку из настроенных источников APT; перед включением автоматической перезагрузки и перезапуска приложений решите, соответствуют ли они политике изменений хоста.

3. Проведите инвентаризацию программного обеспечения и удалите только то, что не требуется для данной роли.

Используйте список служб и список прослушиваемых портов для выявления неожиданных сетевых уязвимостей. Перед удалением демона проверьте права собственности на пакет и подтвердите, требуется ли служба приложению, агенту мониторинга, программному обеспечению резервного копирования или локальной автоматизации. Отключение службы может нарушить зависимость, которая не очевидна из её названия.

systemctl --type=service --state=running
sudo ss -lntup
apt-mark showmanual

Удаляйте неиспользуемые пакеты через APT только после того, как владелец подтвердит, что они не нужны. Для служб, которые должны оставаться установленными, но не должны запускаться, задокументируйте причину и используйте точные рекомендации CIS для выбранного профиля. Избегайте команд, которые отключают все службы в категории или удаляют пакеты массово.

4. Защитите SSH, не заблокировав себе доступ.

Для сервера, управляемого по SSH, sudoперед ограничением входа в систему с правами root или по паролю создайте и протестируйте именованную учетную запись администратора. Убедитесь, что вход по ключу работает из второй терминальной сессии и что вы можете получить доступ к консоли. Затем примените только те настройки SSH, которые требуются вашим профилем и операционной моделью. К распространенным мерам контроля относятся запрет прямого входа в систему с правами root и ограничение аутентификации по паролю, но их небезопасно применять до тех пор, пока не появится другой работающий метод аутентификации.

После редактирования /etc/ssh/sshd_configили загрузки файла конфигурации проверьте синтаксис и эффективные значения, затем перезагрузите SSH:

sudo sshd -t
sudo sshd -T | grep -E 'permitrootlogin|passwordauthentication'
sudo systemctl reload ssh

Оставьте существующую сессию открытой и протестируйте новый вход в систему, прежде чем закрывать её. Если требуется централизованный доступ к идентификационным данным или аварийный доступ к паролю, не отключайте этот путь, пока не будет протестирован новый. В руководстве по серверу OpenSSH Bookworm для Debian описаны поддерживаемые настройки; в бенчмарке указаны применимые целевые значения.

5. Настройте межсетевой экран на одном хосте с необходимым трафиком.

Выберите метод управления брандмауэром, подходящий для вашего хоста, например, nftables или существующий брандмауэр, управляемый оркестрацией, и используйте один авторитетный набор правил. Прежде чем применять политику запрета входящих соединений по умолчанию, разрешите путь управления и все службы, которые должен предоставлять сервер. Неправильное правило может привести к отключению удаленного хоста или прерыванию проверки работоспособности без изменения самого приложения.

sudo nft list ruleset

Сравните действующие правила с утвержденной сетевой схемой, затем протестируйте их на авторизованном внешнем хосте. Если ваша организация использует менеджер брандмауэра, например UFW, проверьте его правила через этот менеджер, а не создавайте на его основе отдельный набор правил. В руководстве по nftables в Debian описан синтаксис команды; правильный список разрешенных серверов зависит от роли сервера и сегментации сети.

6. Проверьте AppArmor и избегайте ослабления ограничений доступа к приложению.

AppArmor — это поддерживаемая Debian платформа обязательного контроля доступа. Проверьте, установлена ​​ли она, включена ли и применяются ли профили для важных служб:

sudo aa-status
systemctl status apparmor

Если AppArmor отсутствует, сначала определите, использует ли образ хоста или политика безопасности какой-либо другой модуль безопасности Linux. Не устанавливайте и не применяйте новые профили в производственной среде без тестирования поведения приложения. Профиль в режиме жалобы регистрирует нарушения политики, но не блокирует их; режим принудительного применения может остановить несанкционированный доступ к файлам или сети, а плохо протестированный профиль может также нарушить работу легитимной службы.

В документации пакета Bookworm AppArmor для Debian описаны компоненты пользовательского пространства. Применяйте точные рекомендации по производительности для состояния профиля и исключений, а не предполагайте, что одной установки пакета достаточно.

7. Добавьте функции аудита и хранения журналов, которые вы действительно сможете отслеживать.

Если это требуется в соответствии с выбранным профилем CIS, установите и включите демон аудита Debian, затем примените правила из текущего эталонного набора и вашего процесса управления изменениями:

sudo apt install auditd
sudo systemctl enable --now auditd
sudo systemctl status auditd
sudo auditctl -l

Убедитесь, что ожидаемые правила загружаются после перезагрузки и что записи аудита собираются, сохраняются и защищаются от доступа обычных пользователей. Правила аудита могут увеличить объем хранилища и событий, поэтому необходимо учитывать размер хранилища и оповещения для рабочей нагрузки хоста. Если журналы пересылаются централизованно, подтвердите также контроль доставки и доступа там. На странице пакета Bookworm auditd в Debian поясняется, что он предоставляет утилиты для хранения и поиска записей аудита ядра; его установка не приводит к автоматической настройке полного набора правил CIS.

8. Проверьте настройки ядра, файловой системы и учетных записей, используя точный контрольный список.

Просмотрите настройки бенчмарка, касающиеся параметров ядра, прав доступа к файлам, политики паролей, баннеров входа в систему, запланированных задач и параметров монтирования файловой системы. Эти настройки зависят от роли хоста. Например, noexecиспользование временной файловой системы может конфликтовать с установщиком или приложением, которое выполняет файлы на ней; отключение IPv6 может нарушить работу сети, использующей его; а ограничительные условия старения учетных записей могут конфликтовать с централизованно управляемыми учетными записями.

Для каждой рекомендации зафиксируйте результат аудита, требуемое значение, фактическое значение и применимость изменения. Примените соответствующие настройки в управляемом конфигурационном файле или системе управления конфигурацией, а затем проверьте фактическое состояние во время выполнения. Избегайте широких рекурсивных chmodкоманд chown: они могут незаметно повредить права собственности на пакет, доступ к приложению и восстановление системы.

9. Оценивать, устранять и документировать исключения.

Запустите инструмент оценки, который явно поддерживает CIS Debian Linux 12 Benchmark v2.0.0 и профиль, выбранный на шаге 1. CIS перечисляет ресурсы для оценки и автоматизации на своей странице, посвященной бенчмаркам Debian; некоторые из них доступны только членам CIS SecureSuite. Контрольный список в формате PDF может использоваться для ручной проверки, но не позволяет сделать вывод о соответствии требованиям на основе универсального сканера Linux или бенчмарка CIS для Debian 13.

Устраняйте выявленные нарушения небольшими партиями. После каждой партии проверяйте доступ, работоспособность приложения, необходимые порты, запланированное резервное копирование, сбор журналов и мониторинг. Повторно запускайте оценку и сравнивайте результат с предыдущим отчетом. Для каждого подтвержденного отклонения записывайте контрольную меру, причину, компенсирующие меры, ответственного и дату проверки. Отметка «Неприменимо» должна быть подтверждена доказательствами, а не использоваться для улучшения оценки.

Операционный контрольный список

• Используйте текущий бенчмарк Debian 12 версии 2.0.0 и правильный профиль сервера.
• Поддерживайте актуальность источников безопасности Bookworm и подтверждайте наличие поддержки LTS для архитектуры и пакетов этого хоста.
• Перед изменением настроек SSH, брандмауэра, загрузки или файловой системы необходимо сохранить путь восстановления.
• В первую очередь тестируйте изменения уровня 2 и изменения, влияющие на работу приложения, вне производственной среды.
• Записывайте результаты оценки, исключения, обновления пакетов и состояние перезагрузки.
• Планируйте миграцию на Debian 13 до окончания поддержки Debian 12 LTS 30 июня 2028 года, если это позволяет объем работы.

Усиление защиты может снизить риски, но соответствие стандартам CIS устанавливается путем оценки конкретной версии и профиля эталонного теста, применения необходимых мер контроля, проверки результатов и документирования разрешенных исключений. Это не гарантирует безопасность хоста и не заменяет собой оценку соответствия организации требованиям.