Debian系统debootstrap构建最小化基础系统的安全强化

在容器化与云原生大行其道的今天，很多人习惯直接拉取一个现成的镜像就开始用。但如果你需要构建一个真正干净、没有冗余软件包、并且从底层就遵循安全最佳实践的 Debian 系统，debootstrap 依然是不可替代的瑞士军刀。问题在于，默认的 debootstrap 构建出的基础系统，其安全配置几乎是“裸奔”状态：root 账户可能没有密码、网络服务配置默认监听所有接口、APT 源可能强制走 HTTP、内核参数未针对容器或虚拟化环境进行加固。这些隐患不会因为你用的是最小化系统就自动消失，反而因为缺乏上层应用的包裹而更容易被利用。下面直接切入具体的安全强化步骤，从 debootstrap 执行的那一刻起，把安全基线刻进系统的 DNA。

安全构建的第一步，是确保你的构建环境本身没有被篡改。在宿主机上，不要直接使用系统自带的 debootstrap 后就不管了。先验证 debootstrap 软件包的签名状态。执行以下命令检查：

apt-cache policy debootstrap

确认软件包来自官方仓库且版本是最新的稳定版。如果你在一个可能不可信的网络环境中，考虑通过 HTTPS 和 GPG 校验的方式手动下载 debootstrap 的 .deb 包及其依赖，用 dpkg-sig 或 debsums 进行完整性验证。这一步很容易被忽略，但供应链攻击往往就从这里撕开口子。

执行 debootstrap 时，不要只指定发行版代号和目标目录。以下几个参数直接决定了初始系统的安全轮廓：

debootstrap --variant=minbase --include=ca-certificates,gnupg,libpam-modules,libpam-pwquality,auditd,acct bookworm /mnt/debian https://deb.debian.org/debian

这里的关键点：第一，--variant=minbase 比默认的 minbase 更精简，去掉了优先级为 important 的包，只保留 essential 和 apt，攻击面最小。第二，--include 显式加入 ca-certificates 和 gnupg，确保后续 APT 操作能通过 HTTPS 验证签名，避免中间人攻击。第三，明确使用 https:// 协议的镜像源，从系统诞生的第一次网络通信就加密传输。第四，预装 libpam-pwquality 和 auditd，把身份认证强度控制和审计守护进程直接打进地基里，而不是事后补救。

在 chroot 进入新系统之前，挂载必要的虚拟文件系统时就要注意权限。不要直接 mount -t proc proc /mnt/debian/proc，这样会暴露宿主机的进程信息。使用更安全的挂载选项：

mount -t proc proc /mnt/debian/proc -o nosuid,nodev,noexec
mount -t sysfs sys /mnt/debian/sys -o nosuid,nodev,noexec
mount -t devtmpfs devtmpfs /mnt/debian/dev -o nosuid,noexec,mode=0755

nosuid 禁止 SUID 位生效，nodev 禁止解释字符或块设备，noexec 禁止执行该文件系统上的二进制文件。这些选项能有效防止 chroot 环境内的恶意程序通过 /proc 或 /sys 逃逸或探测宿主机信息。devtmpfs 的 mode=0755 则限制了设备节点的访问权限，避免非 root 用户直接访问原始块设备。

进入 chroot 环境后，立即为 root 设置一个强密码。但仅仅设置密码还不够，必须修改 PAM 配置来强制密码复杂度。编辑 /etc/pam.d/common-password，确保包含以下行：

password requisite pam_pwquality.so retry=3 minlen=12 difok=3 ucredit=-1 lcredit=-1 dcredit=-1 ocredit=-1 enforce_for_root

这表示密码最小长度 12 位，必须包含至少一位大写、一位小写、一位数字和一位特殊字符，且新密码与旧密码至少有 3 个字符不同。enforce_for_root 则明确要求 root 也遵守此策略，这是很多默认配置故意忽略的。同时，检查 /etc/pam.d/common-auth，添加 tally2 模块来防止暴力破解：

auth required pam_tally2.so deny=5 unlock_time=600 onerr=fail audit

连续 5 次认证失败后锁定账户 10 分钟，audit 参数会将失败记录写入审计日志。

最小化系统可能只运行 sshd 或一个简单的 Web 服务，但网络层面的内核参数默认值往往过于宽松。直接编辑 /etc/sysctl.d/99-hardening.conf，写入以下内容：

# IP 欺骗和路由攻击防护
net.ipv4.conf.all.rp_filter = 1
net.ipv4.conf.default.rp_filter = 1
net.ipv4.conf.all.accept_source_route = 0
net.ipv4.conf.default.accept_source_route = 0

# ICMP 重定向和广播请求忽略
net.ipv4.conf.all.accept_redirects = 0
net.ipv4.conf.default.accept_redirects = 0
net.ipv4.icmp_echo_ignore_broadcasts = 1
net.ipv4.icmp_ignore_bogus_error_responses = 1

# TCP SYN Cookie 防护
net.ipv4.tcp_syncookies = 1
net.ipv4.tcp_syn_retries = 2
net.ipv4.tcp_synack_retries = 2

# 禁用 IPv6（如果不需要）
net.ipv6.conf.all.disable_ipv6 = 1
net.ipv6.conf.default.disable_ipv6 = 1

# 防止内核指针泄露
kernel.kptr_restrict = 2
kernel.dmesg_restrict = 1

# 限制 ptrace 作用域
kernel.yama.ptrace_scope = 2

这些参数从网络协议栈层面关闭了 IP 欺骗、源路由、ICMP 重定向等常见攻击向量。kernel.kptr_restrict=2 隐藏内核指针地址，kernel.dmesg_restrict=1 限制非 root 用户查看 dmesg，kernel.yama.ptrace_scope=2 只允许 root 进行进程追踪，这些都是针对信息泄露和本地提权的有效缓解措施。

进入系统后，APT 源列表默认可能只配置了 HTTP 镜像。立即编辑 /etc/apt/sources.list，将所有条目改为 HTTPS 协议，并固定使用官方安全源：

deb https://deb.debian.org/debian bookworm main contrib non-free
deb https://deb.debian.org/debian bookworm-updates main contrib non-free
deb https://security.debian.org/debian-security bookworm-security main contrib non-free

同时，配置自动安全更新，但不要无脑安装所有更新。安装 unattended-upgrades 包，并编辑 /etc/apt/apt.conf.d/50unattended-upgrades，仅允许来自安全源的更新自动安装：

Unattended-Upgrade::Allowed-Origins {
        "Debian:bookworm-security";
};

再创建 /etc/apt/apt.conf.d/20auto-upgrades，设置自动更新的定时任务：

APT::Periodic::Update-Package-Lists "1";
APT::Periodic::Download-Upgradeable-Packages "1";
APT::Periodic::AutocleanInterval "7";
APT::Periodic::Unattended-Upgrade "1";

这样系统会每天检查安全更新并自动安装，但不会触碰其他源的更新，避免引入未经测试的软件包变更。

最小化系统虽然文件少，但 debootstrap 仍然会带入一些带有 SUID 或 SGID 位的二进制文件。这些文件是本地提权的重点目标。执行以下命令找出它们：

find / -perm -4000 -o -perm -2000 -type f 2>/dev/null

你会看到诸如 /usr/bin/passwd、/usr/bin/su、/usr/bin/sudo（如果安装了）等文件。对于不需要普通用户交互的纯服务系统，可以激进地移除 sudo 的 SUID 位，甚至直接卸载 sudo 包，只保留 su。如果必须保留，至少用 dpkg-statoverride 锁定这些文件的权限，防止被恶意替换。同时，对 /tmp 和 /var/tmp 挂载选项进行加固，在 /etc/fstab 中添加：

tmpfs /tmp tmpfs defaults,noexec,nosuid,nodev 0 0
tmpfs /var/tmp tmpfs defaults,noexec,nosuid,nodev 0 0

这能防止攻击者在临时目录中下载并执行恶意二进制文件。

之前预装的 auditd 现在需要配置规则。编辑 /etc/audit/rules.d/audit.rules，添加关键系统调用和文件变更监控：

-w /etc/passwd -p wa -k identity_changes
-w /etc/shadow -p wa -k identity_changes
-w /etc/group -p wa -k identity_changes
-w /etc/sudoers -p wa -k sudoers_changes
-w /etc/ssh/sshd_config -p wa -k sshd_config_changes
-w /var/log/auth.log -p wa -k auth_log_changes
-a always,exit -F arch=b64 -S execve -k process_execution

这些规则监控关键身份认证和授权文件的任何写入或属性变更，同时记录所有进程执行事件。auditd 日志默认存储在 /var/log/audit/ 下，配合 acct 包提供的进程记账功能，可以构建出完整的系统行为基线。别忘了配置 logrotate 防止日志撑满磁盘，在 /etc/logrotate.d/audit 中设置保留 12 周的日志并压缩。

即使是最小化系统，也应该启用 AppArmor 或 SELinux。Debian 默认支持 AppArmor，检查是否已安装并启用：

aa-status

如果没有，安装 apparmor 和 apparmor-profiles，并添加内核启动参数 apparmor=1 security=apparmor。然后对所有监听网络的服务进程强制配置 AppArmor 策略。例如，如果系统只运行一个简单的 HTTP 服务，为其编写一个最小权限的 AppArmor 配置，限制其只能读取特定目录、只能绑定指定端口、禁止执行其他程序。

同时，利用 seccomp 和 systemd 的服务沙盒功能进一步收紧。在服务的 systemd unit 文件中添加：

[Service]
PrivateTmp=yes
PrivateDevices=yes
ProtectSystem=strict
ProtectHome=yes
NoNewPrivileges=yes
RestrictAddressFamilies=AF_INET AF_INET6
SystemCallFilter=~@clock @debug @module @mount @raw-io @reboot @swap @privileged

这些指令创建一个无 /tmp 访问、无设备访问、文件系统只读、禁止提权、限制地址族和系统调用的沙盒环境，即使服务进程被攻破，攻击者也几乎无法对系统造成实质性破坏。

系统构建完成并退出 chroot 后，不要立即投入使用。先对目标目录做一次完整的文件校验和备份。使用 find 配合 sha256sum 生成所有文件的哈希值清单：

find /mnt/debian -type f -exec sha256sum {} \; > /root/debian-base-integrity.sha256

将这个清单保存在只读介质或远程安全位置。未来任何时刻，你都可以通过对比这个清单来发现文件是否被篡改。同时，用 tar 将整个根文件系统打包并 gpg 加密签名，作为安全基线镜像，供后续批量部署使用。

debootstrap 构建的最小化系统，其安全强化不是一个事后打补丁的过程，而是一个从构建参数、挂载选项、PAM 策略、内核参数、文件权限到强制访问控制的完整链条。每一个环节的疏忽，都会让“最小化”变成“最脆弱”。只有将上述步骤固化为构建脚本或配置管理代码，让每一次 debootstrap 产出的系统都天然具备这些安全属性，才能真正实现基础设施即代码时代的安全左移。