麒麟OS如何开启安全加固模式

管理银河麒麟操作系统服务器或桌面终端时，若未启用系统内置的安全加固机制，系统可能面临弱口令滥用、未授权服务调用、内核模块被恶意加载等基础性风险。银河麒麟OS自V10起集成KYSEC（Kylin Security Enhancement Component）作为核心安全加固模块——该功能并非开关式启用，需按模式激活并配置各子功能组件方能生效。

KYSEC状态检查与模式切换

打开终端，执行以下命令确认当前KYSEC运行状态：

【必须使用普通用户权限执行】 getstatus

查看输出中“Kysecstatus”字段值：若为“disable”，说明安全加固未启用；若为“normal”，表示已处于强制模式；若为“warning”，则为警告模式。临时启用强制模式执行：

kysec enable

该命令仅在当前会话生效，重启后失效。如需永久启用，必须配合配置文件修改。

永久启用KYSEC强制模式

编辑KYSEC主配置文件：

sudo vim /etc/kysec/kysec.conf

找到行 kysec_status=disable，将其改为 kysec_status=normal。注意：此文件中所有参数均不可添加空格或中文符号，否则KYSEC服务启动失败。

保存退出后，重启KYSEC服务使配置生效：

sudo systemctl restart kysec

再次运行 getstatus，确认“Kysecstatus”显示为“normal”且各子功能（如file protect、process protect）状态不再为“off”。

启用关键子功能组件

仅开启KYSEC框架本身不足以形成防护，必须手动激活具体控制项：

第一步：启用文件保护功能，防止非授权程序修改系统关键二进制文件：

sudo kysecctl --file-protect on

第二步：启用进程保护，阻止未签名进程注入或劫持系统服务：

sudo kysecctl --process-protect on

第三步：启用设备管控，限制USB存储设备自动挂载行为——政务场景的刚需：

sudo kysecctl --device-control on

执行完三步后，运行 kysecctl --status 查看各组件返回“enabled”。【若某项返回disabled，请检查是否已安装对应内核模块：kysec-file、kysec-process、kysec-device】