用途：用于对 Debian 12 / Ubuntu 24.04 服务器做防御性安全加固，适用于新 VPS 上线前、季度安全审计、CVE 影响后、服务器入列、合规基线（SOC 2、ISO 27001、PCI-DSS）要求及事件后复核。核心原则是全新安装不等于生产就绪，需一次自动化加固、长期审计。
主要能力：覆盖十个加固域——用户/组/sudo、文件权限与 ACL、PAM 认证、强制访问控制（AppArmor）、auditd 与系统日志、内核 sysctl、文件完整性监控（AIDE）、rootkit 检测（rkhunter/chkrootkit）、补丁管理、启动安全（GRUB/UEFI/LUKS），并附约 60 项对齐 CIS Debian 12 的检查清单。
使用方式：先读 SKILL.md，再按需加载 references/ 下的深入文件，按有序清单与决策规则执行，而非零散摘取片段。基线步骤包括：apt update && apt full-upgrade -y 并安装 ufw、nftables、fail2ban、auditd、unattended-upgrades、libpam-pwquality、libpam-google-authenticator、rkhunter、chkrootkit、aide、apparmor、lynis、debsecan；禁用未用服务与内核模块；passwd -l root 并用 visudo 配置 sudo；审计 setuid 与世界可写文件；配置 pwquality 与 faillock；启用 AppArmor 并 enforce；加载 auditd 规则；写入 /etc/sysctl.d/99-hardening.conf 后执行 sysctl --system；aideinit 建立基线；rkhunter --propupd；配置无人值守安全更新；最后用 lynis audit system 验证，目标加固指数不低于 80。
限制：仅覆盖自有服务器的 Linux 操作系统层安全；网络层、密钥与 CI 加固、应用代码漏洞需配合其他技能。资料未提供具体收费、价格或平台支持信息。反模式包括仅依赖 DAC、长期保留 AppArmor complain 模式、直接编辑 /etc/sudoers、使用 NOPASSWD: ALL、AIDE/rkhunter 不异地告警、升级后不重建 AIDE 基线等。