คู่มือการเสริมความปลอดภัย Debian 12 CIS: ขั้นตอนการตั้งค่าพื้นฐานของเซิร์ฟเวอร์ทีละขั้นตอน

อะไรเปลี่ยนแปลงไปบ้างสำหรับ Debian 12 และมาตรฐาน CIS พื้นฐาน

Debian 12 “Bookworm” เข้าสู่ช่วง Debian LTS เมื่อวันที่ 12 กรกฎาคม 2026 การสนับสนุนด้านความปลอดภัยมีกำหนดถึงวันที่ 30 มิถุนายน 2028 ในขณะที่ Debian 13 เป็นเวอร์ชันเสถียรในปัจจุบัน Debian แนะนำให้ทำการอัปเกรดเป็น Debian 13 หากทำได้ หากคุณจำเป็นต้องใช้ Bookworm ต่อไป โปรดตรวจสอบให้แน่ใจว่าสถาปัตยกรรม CPU และแพ็กเกจที่ติดตั้งยังคงได้รับการสนับสนุนจาก LTS รักษาการกำหนดค่าแหล่งข้อมูลความปลอดภัยของ Bookworm ไว้ และวางแผนการย้ายข้อมูลที่ผ่านการทดสอบแล้วก่อนที่ระยะเวลาการสนับสนุนจะสิ้นสุดลง

รายการมาตรฐาน CIS ปัจจุบันประกอบด้วยCIS Debian Linux 12 Benchmark v2.0.0 CIS ได้ประกาศการอัปเดตครั้งสำคัญในปี 2026 โดยมีการเพิ่ม ลบ ย้าย และแก้ไขข้อแนะนำต่างๆ ดังนั้น รายการตรวจสอบและระบบอัตโนมัติของ Debian 12 เวอร์ชันเก่าอาจใช้เกณฑ์มาตรฐานที่แตกต่างกัน คู่มือนี้ใช้มาตรฐาน v2.0.0 เป็นข้อมูลอ้างอิงในการประเมิน แต่ไม่ได้จำลองการควบคุมทุกอย่างหรืออ้างว่าได้ผลลัพธ์ที่ผ่านเกณฑ์ โปรดใช้มาตรฐานและโปรไฟล์ที่องค์กรของคุณยอมรับอย่างถูกต้อง

อ้างอิง: ประกาศการส่งมอบ Bookworm LTS ของ Debian , รายชื่อ Debian Benchmark ของ CISและการอัปเดตมาตรฐานของ CIS เดือนมิถุนายน 2026

ก่อนทำการเพิ่มความปลอดภัย: เลือกโปรไฟล์และเส้นทางการกู้คืน

การเสริมความแข็งแกร่งตามมาตรฐาน CIS ไม่ใช่สูตรสำเร็จตายตัวสำหรับทุกกรณี โปรไฟล์ระดับ 1 เป็นจุดเริ่มต้นที่ใช้งานได้จริงสำหรับเซิร์ฟเวอร์ที่ใช้งานจริงจำนวนมาก โปรไฟล์ระดับ 2 เพิ่มการป้องกันเชิงลึกและอาจมีผลกระทบต่อความเข้ากันได้และการทำงานมากขึ้น CIS แนะนำให้ทดสอบข้อแนะนำที่เลือกในสภาพแวดล้อมที่ไม่ใช่การใช้งานจริงก่อน หากหน่วยงานกำกับดูแล สัญญาของลูกค้า หรือนโยบายภายในระบุโปรไฟล์ใด ให้ปฏิบัติตามข้อกำหนดเฉพาะนั้น

• บันทึกเป้าหมายเป็น Debian 12 Bookworm เวอร์ชันมาตรฐาน CIS และโปรไฟล์เซิร์ฟเวอร์ที่เกี่ยวข้อง
• ทำการสำรองข้อมูลหรือสร้างสแนปช็อต VM ที่ผ่านการทดสอบแล้ว และยืนยันการเข้าถึงคอนโซลหรือการเข้าถึงนอกแบนด์ก่อนที่จะเปลี่ยนแปลงการตั้งค่าการเข้าสู่ระบบระยะไกลหรือไฟร์วอลล์
• จดบันทึกบริการที่จำเป็น พอร์ต ผู้ใช้ งานที่กำหนดเวลาไว้ จุดเชื่อมต่อ และการพึ่งพาของแอปพลิเคชัน
• กำหนดผู้ที่มีอำนาจอนุมัติข้อยกเว้น และระบุสถานที่เก็บรักษารายงานการสแกนและบันทึกการเปลี่ยนแปลง

CIS ระบุว่าระดับ 1 เป็นโปรไฟล์พื้นฐาน และระดับ 2 เป็นโปรไฟล์การป้องกันเชิงลึกที่เข้มงวดกว่า โปรดดูคำถามที่พบบ่อยเกี่ยวกับโปรไฟล์ CIS อย่างเป็นทางการ ก่อนเลือกใช้

1. ตรวจสอบรุ่น Debian และความครอบคลุมของ LTS

ก่อนทำการเปลี่ยนแปลงใดๆ โปรดตรวจสอบรุ่น สถาปัตยกรรม เคอร์เนล บริการที่ใช้งานอยู่ และซ็อกเก็ตที่กำลังรอรับการเชื่อมต่อของระบบโฮสต์:

cat /etc/os-release
dpkg --print-architecture
uname -r
systemctl --failed
sudo ss -tulpn

การรองรับ LTS ของ Bookworm นั้นจำกัดเฉพาะสถาปัตยกรรมที่ระบุไว้ และไม่รวมถึงบางแพ็กเกจ ตรวจสอบข้อมูลแพ็กเกจ Bookworm LTS ของ Debian โดยเฉพาะอย่างยิ่งหากเครื่องใช้งานซอฟต์แวร์นอกเหนือจากคลังหลักของ Debian คะแนน CIS ไม่ได้ขยายขอบเขตการสนับสนุนด้านความปลอดภัยของ Debian

2. อัปเดตระบบให้ทันสมัยอย่างปลอดภัย

ตรวจสอบให้แน่ใจว่าแหล่ง APT ใช้bookwormชื่อรหัสและรวมแหล่งความปลอดภัย/LTS ของ Debian เวอร์ชันปัจจุบันสำหรับการติดตั้งนี้ หลีกเลี่ยงการเปลี่ยนแหล่งของเซิร์ฟเวอร์ที่ใช้งานจริงจาก เวอร์ชัน bookwormหนึ่งไปstableเป็นอีกเวอร์ชันหนึ่งเพื่อเป็นทางลัด เนื่องจากชื่อแทนเวอร์ชันเสถียรในปัจจุบันชี้ไปยัง Debian 13 และอาจทำให้การอัปเดตความปลอดภัยกลายเป็นการอัปเกรดการแจกจ่ายได้

sudo apt update
sudo apt upgrade

ตรวจสอบการเปลี่ยนแปลงแพ็กเกจที่เสนออย่างละเอียดก่อนยืนยัน กำหนดช่วงเวลาสำหรับการบำรุงรักษาในการอัปเกรดที่เปลี่ยนเคอร์เนลหรือรีสตาร์ทบริการที่สำคัญ อย่าใช้งานfull-upgradeโดยไม่ตรวจสอบการลบแพ็กเกจและการเปลี่ยนแปลงการพึ่งพา สำหรับการแก้ไขอัตโนมัติunattended-upgradesแพ็กเกจของ Debian สามารถติดตั้งโดยอัตโนมัติจากแหล่ง APT ที่กำหนดค่าไว้ ตัดสินใจว่าการรีบูตอัตโนมัติและการรีสตาร์ทแอปพลิเคชันนั้นสอดคล้องกับนโยบายการเปลี่ยนแปลงของโฮสต์หรือไม่ก่อนที่จะเปิดใช้งาน

3. ตรวจสอบซอฟต์แวร์จัดการสินค้าคงคลัง และลบเฉพาะสิ่งที่ไม่จำเป็นสำหรับตำแหน่งงานนั้นออกไป

ใช้รายการบริการและรายการพอร์ตการรับฟังของคุณเพื่อระบุช่องโหว่เครือข่ายที่ไม่คาดคิด ตรวจสอบความเป็นเจ้าของแพ็กเกจก่อนที่จะลบเดมอน และยืนยันว่าบริการนั้นจำเป็นสำหรับแอปพลิเคชัน ตัวแทนการตรวจสอบ ซอฟต์แวร์สำรองข้อมูล หรือระบบอัตโนมัติในเครื่องหรือไม่ การปิดใช้งานบริการอาจทำให้การพึ่งพาเสียหายซึ่งไม่ชัดเจนจากชื่อของบริการนั้น

systemctl --type=service --state=running
sudo ss -lntup
apt-mark showmanual

ลบแพ็กเกจที่ไม่ได้ใช้งานผ่าน APT เฉพาะหลังจากที่เจ้าของยืนยันแล้วว่าไม่จำเป็น สำหรับบริการที่ต้องติดตั้งไว้แต่ไม่ควรเริ่มต้นทำงาน ให้บันทึกเหตุผลและใช้คำแนะนำของ CIS ที่ถูกต้องสำหรับโปรไฟล์ที่เลือก หลีกเลี่ยงคำสั่งที่ปิดใช้งานทุกบริการในหมวดหมู่หรือลบแพ็กเกจจำนวนมาก

4. รักษาความปลอดภัย SSH โดยไม่ทำให้ตัวเองถูกล็อกไม่ให้เข้าใช้งาน

สำหรับเซิร์ฟเวอร์ที่จัดการผ่าน SSH ให้สร้างและทดสอบบัญชีผู้ดูแลระบบที่มีชื่อsudoก่อนที่จะจำกัดการเข้าสู่ระบบด้วย root หรือรหัสผ่าน ตรวจสอบให้แน่ใจว่าการเข้าสู่ระบบด้วยคีย์ทำงานได้จากเซสชันเทอร์มินัลที่สอง และคุณสามารถเข้าถึงคอนโซลได้ จากนั้นใช้เฉพาะการตั้งค่า SSH ที่จำเป็นสำหรับโปรไฟล์และรูปแบบการทำงานของคุณ การควบคุมทั่วไป ได้แก่ การป้องกันการเข้าสู่ระบบ root โดยตรงและการจำกัดการตรวจสอบสิทธิ์ด้วยรหัสผ่าน แต่การตั้งค่าเหล่านี้ไม่ปลอดภัยหากนำไปใช้ก่อนที่จะมีวิธีการตรวจสอบสิทธิ์อื่นที่ใช้งานได้

หลังจากแก้ไข/etc/ssh/sshd_configไฟล์การกำหนดค่าแล้ว ให้ตรวจสอบความถูกต้องของไวยากรณ์และค่าที่ใช้งานได้ จากนั้นโหลด SSH ใหม่:

sudo sshd -t
sudo sshd -T | grep -E 'permitrootlogin|passwordauthentication'
sudo systemctl reload ssh

เปิดเซสชันปัจจุบันไว้และทดสอบการเข้าสู่ระบบใหม่ก่อนปิด หากจำเป็นต้องใช้การระบุตัวตนส่วนกลางหรือการเข้าถึงด้วยรหัสผ่านฉุกเฉิน อย่าปิดใช้งานเส้นทางนั้นจนกว่าจะทดสอบการเข้าสู่ระบบทดแทนแล้วคู่มือเซิร์ฟเวอร์ OpenSSH ของ Debian Bookworm มีเอกสารเกี่ยวกับการตั้งค่าที่รองรับ การทดสอบประสิทธิภาพจะให้ค่าเป้าหมายที่เหมาะสม

5. กำหนดค่าไฟร์วอลล์ของโฮสต์หนึ่งเครื่องให้รองรับปริมาณการรับส่งข้อมูลตามที่ต้องการ

เลือกวิธีการจัดการไฟร์วอลล์ที่เหมาะสมกับโฮสต์ เช่น nftables หรือไฟร์วอลล์ที่จัดการโดยระบบจัดการเครือข่ายที่มีอยู่แล้ว และใช้ชุดกฎหลักเพียงชุดเดียว ก่อนที่จะบังคับใช้นโยบายปฏิเสธขาเข้าโดยค่าเริ่มต้น ให้ตรวจสอบอนุญาตเส้นทางการจัดการและบริการทั้งหมดที่เซิร์ฟเวอร์ต้องให้บริการเสียก่อน กฎที่ไม่ถูกต้องอาจตัดการเชื่อมต่อโฮสต์ระยะไกลหรือขัดจังหวะการตรวจสอบสถานะโดยไม่ต้องเปลี่ยนแปลงแอปพลิเคชันเอง

sudo nft list ruleset

เปรียบเทียบกฎที่ใช้งานอยู่กับแบบแผนการออกแบบเครือข่ายที่ได้รับการอนุมัติของคุณ จากนั้นทดสอบจากโฮสต์ภายนอกที่ได้รับอนุญาต หากองค์กรของคุณใช้ตัวจัดการไฟร์วอลล์ เช่น UFW ให้ตรวจสอบกฎผ่านตัวจัดการนั้นแทนที่จะสร้างชุดกฎอิสระเพิ่มเติมคู่มือ nftables ของ Debian อธิบายไวยากรณ์คำสั่ง รายการอนุญาตที่ถูกต้องขึ้นอยู่กับบทบาทของเซิร์ฟเวอร์และการแบ่งส่วนเครือข่าย

6. ตรวจสอบ AppArmor และหลีกเลี่ยงการลดทอนการจำกัดการเข้าถึงแอปพลิเคชัน

AppArmor คือเฟรมเวิร์กควบคุมการเข้าถึงแบบบังคับ (Mandatory Access Control) ที่ได้รับการสนับสนุนจาก Debian ตรวจสอบว่าได้ติดตั้ง เปิดใช้งาน และบังคับใช้โปรไฟล์สำหรับบริการที่สำคัญแล้วหรือไม่:

sudo aa-status
systemctl status apparmor

หากไม่มี AppArmor ให้ตรวจสอบก่อนว่าอิมเมจโฮสต์หรือนโยบายความปลอดภัยจงใจใช้โมดูลความปลอดภัยของ Linux อื่นหรือไม่ อย่าติดตั้งหรือบังคับใช้โปรไฟล์ใหม่ในสภาพแวดล้อมการใช้งานจริงโดยไม่ทดสอบพฤติกรรมของแอปพลิเคชันก่อน โปรไฟล์ในโหมดแจ้งเตือนจะบันทึกการละเมิดนโยบาย แต่จะไม่บล็อกการละเมิดนั้น โหมดบังคับใช้สามารถหยุดการเข้าถึงไฟล์หรือเครือข่ายที่ไม่ได้รับอนุญาตได้ และโปรไฟล์ที่ทดสอบไม่ดีอาจทำให้บริการที่ถูกต้องใช้งานไม่ได้เช่นกัน

เอกสารประกอบแพ็กเกจ Bookworm AppArmorของ Debian อธิบายถึงส่วนประกอบในพื้นที่ผู้ใช้ ควรปฏิบัติตามคำแนะนำมาตรฐานที่ระบุไว้อย่างเคร่งครัดสำหรับสถานะโปรไฟล์และข้อยกเว้น แทนที่จะสันนิษฐานว่าการติดตั้งแพ็กเกจเพียงอย่างเดียวก็เพียงพอแล้ว

7. เพิ่มระบบตรวจสอบและเก็บรักษาบันทึกข้อมูลที่สามารถตรวจสอบได้จริง

หากจำเป็นตามโปรไฟล์ CIS ที่เลือก ให้ติดตั้งและเปิดใช้งาน daemon ตรวจสอบของ Debian จากนั้นใช้กฎจากเกณฑ์มาตรฐานปัจจุบันและกระบวนการควบคุมการเปลี่ยนแปลงของคุณ:

sudo apt install auditd
sudo systemctl enable --now auditd
sudo systemctl status auditd
sudo auditctl -l

ตรวจสอบให้แน่ใจว่ากฎที่คาดหวังโหลดหลังจากรีบูต และมีการรวบรวม เก็บรักษา และปกป้องบันทึกการตรวจสอบจากผู้ใช้ทั่วไป กฎการตรวจสอบอาจเพิ่มพื้นที่จัดเก็บและปริมาณเหตุการณ์ ดังนั้นควรกำหนดขนาดการเก็บรักษาและการแจ้งเตือนให้เหมาะสมกับปริมาณงานของโฮสต์ หากมีการส่งต่อบันทึกไปยังส่วนกลาง ให้ยืนยันการส่งและการควบคุมการเข้าถึงที่นั่นด้วยเช่นกันหน้าเว็บของแพ็กเกจ auditd ใน Bookworm ของ Debian อธิบายว่ามีเครื่องมือสำหรับจัดเก็บและค้นหาบันทึกการตรวจสอบเคอร์เนล การติดตั้งแพ็กเกจนี้ไม่ได้กำหนดค่าชุดกฎ CIS ทั้งหมดโดยอัตโนมัติ

8. ตรวจสอบการควบคุมเคอร์เนล ระบบไฟล์ และบัญชีผู้ใช้ โดยเทียบกับรายการตรวจสอบอย่างละเอียด

ศึกษาการตั้งค่าต่างๆ ของโปรแกรมทดสอบประสิทธิภาพ เช่น พารามิเตอร์เคอร์เนล สิทธิ์การเข้าถึงไฟล์ นโยบายรหัสผ่าน แบนเนอร์การเข้าสู่ระบบ งานที่กำหนดเวลาไว้ และตัวเลือกการเมานต์ระบบไฟล์ การตั้งค่าเหล่านี้ขึ้นอยู่กับบทบาทของโฮสต์ ตัวอย่างเช่นnoexecการใช้ระบบไฟล์ชั่วคราวอาจขัดแย้งกับโปรแกรมติดตั้งหรือแอปพลิเคชันที่เรียกใช้ไฟล์ในระบบไฟล์นั้น การปิดใช้งาน IPv6 อาจทำให้เครือข่ายที่ใช้ IPv6 เสียหาย และการจำกัดการหมดอายุของบัญชีอาจขัดแย้งกับการจัดการข้อมูลประจำตัวจากส่วนกลาง

สำหรับคำแนะนำแต่ละข้อ ให้บันทึกผลการตรวจสอบ ค่าที่ต้องการ ค่าจริง และว่าการเปลี่ยนแปลงนั้นสามารถนำไปใช้ได้หรือไม่ นำการตั้งค่าที่เกี่ยวข้องไปใช้ในไฟล์การกำหนดค่าที่จัดการได้หรือระบบการจัดการการกำหนดค่า จากนั้นตรวจสอบสถานะการทำงานที่ได้ผล หลีกเลี่ยงคำสั่งแบบเรียกซ้ำchmodหรือchownคำสั่งทั่วไป เพราะอาจทำให้เกิดความเสียหายต่อสิทธิ์การเป็นเจ้าของแพ็กเกจ การเข้าถึงแอปพลิเคชัน และการกู้คืนระบบโดยไม่รู้ตัว

9. ประเมิน แก้ไข และบันทึกข้อผิดพลาด

เรียกใช้เครื่องมือประเมินที่รองรับมาตรฐานCIS Debian Linux 12 Benchmark v2.0.0และโปรไฟล์ที่เลือกในขั้นตอนที่ 1 อย่างชัดเจน CIS แสดงรายการแหล่งข้อมูลการประเมินและการทำงานอัตโนมัติไว้ในหน้าเว็บมาตรฐาน Debian ของตน ซึ่งบางส่วนมีให้เฉพาะสมาชิก CIS SecureSuite เท่านั้น รายการตรวจสอบในรูปแบบ PDF สามารถใช้สนับสนุนการตรวจสอบด้วยตนเองได้ แต่ไม่ได้หมายความว่าเครื่องมือสแกน Linux ทั่วไปหรือมาตรฐาน CIS สำหรับ Debian 13 จะเป็นไปตามข้อกำหนด

แก้ไขข้อบกพร่องทีละเล็กทีละน้อย หลังจากแก้ไขแต่ละชุดแล้ว ให้ตรวจสอบการเข้าถึง สุขภาพของแอปพลิเคชัน พอร์ตที่จำเป็น การสำรองข้อมูลตามกำหนดเวลา การรวบรวมบันทึก และการตรวจสอบ เรียกใช้การประเมินอีกครั้งและเปรียบเทียบผลลัพธ์กับรายงานก่อนหน้า สำหรับข้อบกพร่องที่ยอมรับได้แต่ละรายการ ให้บันทึกการควบคุม เหตุผล มาตรการแก้ไข ผู้รับผิดชอบ และวันที่ตรวจสอบ คำว่า “ไม่เกี่ยวข้อง” ควรมีหลักฐานสนับสนุน ไม่ใช่ใช้เพื่อทำให้คะแนนดูดีขึ้น

รายการตรวจสอบการปฏิบัติงาน

• ใช้เกณฑ์มาตรฐาน Debian 12 v2.0.0 ปัจจุบันและโปรไฟล์เซิร์ฟเวอร์ที่ถูกต้อง
• หมั่นอัปเดตแหล่งข้อมูลความปลอดภัยของ Bookworm ให้เป็นปัจจุบันอยู่เสมอ และยืนยันการครอบคลุมของ LTS สำหรับสถาปัตยกรรมและแพ็กเกจของโฮสต์นี้
• ควรสร้างเส้นทางการกู้คืนระบบไว้ก่อนที่จะทำการเปลี่ยนแปลงพฤติกรรมของ SSH, ไฟร์วอลล์, การบูต หรือระบบไฟล์
• ทดสอบระดับ 2 และการเปลี่ยนแปลงที่มีผลกระทบต่อแอปพลิเคชันนอกสภาพแวดล้อมการใช้งานจริงก่อน
• บันทึกผลการประเมิน ข้อผิดพลาด การอัปเดตแพ็กเกจ และสถานะการรีบูต
• วางแผนการย้ายระบบไปยัง Debian 13 ก่อนที่ Debian 12 LTS จะหมดอายุในวันที่ 30 มิถุนายน 2028 โดยพิจารณาจากปริมาณงานที่สามารถทำได้

การเสริมความแข็งแกร่งสามารถลดความเสี่ยงได้ แต่การจัดแนวให้สอดคล้องกับ CIS นั้นต้องอาศัยการประเมินเวอร์ชันและโปรไฟล์มาตรฐานเฉพาะ การใช้มาตรการควบคุมที่จำเป็น การตรวจสอบความถูกต้องของผลลัพธ์ และการบันทึกข้อยกเว้นที่ได้รับอนุญาต ซึ่งไม่ได้เป็นการรับประกันว่าโฮสต์นั้นปลอดภัย หรือใช้แทนการประเมินการปฏิบัติตามข้อกำหนดขององค์กรได้