Debian内核安全模块详解（从零开始配置LSM安全策略）

第一步：检查当前内核是否支持LSM

首先，我们需要确认你的Debian系统内核是否启用了LSM支持。打开终端，输入以下命令：

cat /sys/kernel/security/lsm

如果输出类似 capability,landlock,apparmor,yama，说明系统已加载多个LSM模块，其中包含AppArmor。若未看到 apparmor 或 selinux，则需要手动启用。

第二步：启用AppArmor（推荐新手使用）

AppArmor 是Debian官方支持的安全模块，配置直观，适合初学者。执行以下步骤启用它：

1. 安装AppArmor相关工具包：

sudo apt updatesudo apt install apparmor apparmor-utils apparmor-profiles

2. 编辑GRUB配置文件，确保内核启动时加载AppArmor：

sudo nano /etc/default/grub

找到这一行：

GRUB_CMDLINE_LINUX_DEFAULT="quiet splash"

修改为：

GRUB_CMDLINE_LINUX_DEFAULT="quiet splash apparmor=1 security=apparmor"

3. 更新GRUB并重启系统：

sudo update-grubsudo reboot

重启后，再次运行 cat /sys/kernel/security/lsm，应能看到 apparmor 已启用。

第三步：验证与管理AppArmor策略

使用以下命令查看当前AppArmor状态：

sudo aa-status

该命令会列出已加载的配置文件、处于强制模式（enforce）或投诉模式（complain）的程序等信息。

第四步：尝试SELinux（高级用户可选）

虽然Debian对SELinux的支持不如Red Hat系发行版完善，但你仍可尝试。注意：SELinux配置复杂，建议仅在有经验的情况下使用。

sudo apt install selinux-basics selinux-policy-default auditdsudo selinux-activatesudo reboot

重启后，使用 getenforce 查看SELinux状态。若返回 Enforcing，说明已启用。

总结

通过本教程，你已经学会了如何在Debian系统中启用和配置LSM配置教程中提到的核心安全模块。对于大多数用户，AppArmor安全设置已足够提供强大的进程隔离与访问控制。而如果你来自企业环境或需要更细粒度的控制，也可以探索SELinux在Debian中的使用。

记住：安全不是一劳永逸的配置，而是持续的过程。定期审查安全策略、更新系统、监控日志，才能真正筑牢系统防线。