银河麒麟高级服务器操作系统V10 SP3，如何进行加固？
在信创浪潮下，银河麒麟操作系统（以下简称“银河麒麟”）已成为党政军、金融、能源等关键领域的首选服务器操作系统。它不仅同源支持鲲鹏、飞腾、龙芯、海光、兆芯等多款国产CPU，还内置KYSEC本质安全机制，被誉为“国内最安全Linux之一”。然而，再安全的系统也需要“加固”才能真正抵御高级威胁。本文基于银河麒麟高级服务器操作系统V10 SP3（最新主流版本）实战经验，系统梳理从基础配置到高级防护的全链路加固干货，帮助运维同学快速把系统打造成“金钟罩”。
为什么银河麒麟天生就比普通Linux更安全？
银河麒麟不是简单“魔改CentOS/Ubuntu”，它有三大核心安全基因：
- KYSEC（Kylin Security）本质安全模块
取代传统SELinux/AppArmor，提供强制访问控制（MAC）+执行控制（exectl）+安全标签。默认开启白名单执行控制，恶意脚本/木马直接弹窗拦截。
- 三权分立（管理员、审计员、安全员）
root被拆分成三个角色，防止超级管理员“一权独大”。
- 内置安全中心+一键加固工具
图形化/命令行双模式，支持等保三级/四级一键扫描加固。
但默认配置仍偏“易用”，生产环境必须手动加固。下面进入正题。
账户与密码策略加固（最常见攻击入口）
弱密码、默认账户是90%入侵的起点。
- 禁用/锁定默认风险账户
# 锁定系统默认账户（部分可能不存在，根据实际情况执行）
passwd -l sync
passwd -l shutdown
passwd -l halt
passwd -l news
passwd -l operator
passwd -l games
passwd -l gopher
# 删除无用账户
userdel adm
userdel lp
userdel uucp
- 严格密码复杂度（推荐等保三级标准）
编辑/etc/security/pwquality.conf：
minlen = 12 # 最小长度12位
dcredit = -1 # 至少1个数字
ucredit = -1 # 至少1个大写
lcredit = -1 = -1 # 至少1个小写
ocredit = -1 # 至少1个特殊字符
difok = 8 # 新密码与旧密码至少不同8位
retry = 3 # 最大重试3次
编辑/etc/login.defs：
PASS_MAX_DAYS 90 # 密码最长有效期90天
PASS_MIN_DAYS 0
PASS_WARN_AGE 7 # 过期前7天提醒
- 账户锁定策略
编辑/etc/pam.d/password-auth和/etc/pam.d/system-auth，在auth段落添加：
auth required pam_faillock.so preauth silent deny=5 unlock_time=600
auth required pam_faillock.so authfail deny=5 unlock_time=600
（5次输错锁定10分钟）
- 禁止root远程登录
编辑/etc/ssh/sshd_config：
PermitRootLogin no
PasswordAuthentication no # 强制密钥登录
重启sshd：systemctl restart sshd
文件权限与系统服务最小化
- 设置关键文件严格权限
chmod 600 /etc/shadow
chmod 600 /etc/passwd
chmod 000 /etc/ssh/ssh_host_*
chmod 700 /root
chmod 750 /home/*
chmod 644 /etc/group
- 关闭高危服务（生产环境只开必需）
systemctl disable avahi-daemon cups telnet rsh rlogin rexec ypserv tftp vsftpd xinetd
# 查看开机启动服务
systemctl list-unit-files | grep enabled
- 设置umask加强默认权限
编辑/etc/profile和/etc/bashrc添加：
umask 027
内核参数加固（sysctl最全清单）
编辑/etc/sysctl.conf，添加以下内容（等保三级+生产最佳实践）：
# 网络安全
net.ipv4.ip_forward = 0
net.ipv4.conf.all.send_redirects = 0
net.ipv4.conf.default.send_redirects = 0
net.ipv4.conf.all.accept_redirects = 0
net.ipv4.conf.all.secure_redirects = 0
net.ipv4.icmp_echo_ignore_broadcasts = 1
net.ipv4.icmp_ignore_bogus_error_responses = 1
net.ipv4.tcp_syncookies = 1
net.ipv4.tcp_synack_retries = 2
net.ipv4.tcp_syn_retries = 2
net.ipv4.conf.all.rp_filter = 1
net.ipv4.conf.default.rp_filter = 1
# 防御常见攻击
kernel.core_uses_pid = 1
kernel.kptr_restrict = 2
kernel.dmesg_restrict = 1
kernel.randomize_va_space = 2
fs.suid_dumpable = 0
# 防止ping和模块加载
net.ipv4.icmp_echo_ignore_all = 1
kernel.modules_disabled = 1
# 执行生效
sysctl -p
防火墙与网络访问控制
银河麒麟V10默认使用firewalld（部分老版本用iptables）。
- 开启firewalld并设置默认拒绝
systemctl enable --now firewalld
firewall-cmd --set-default-zone=drop # 推荐drop区，所有未明确允许的拒绝
- 常用端口白名单
firewall-cmd --permanent --add-service=ssh
firewall-cmd --permanent --add-port=80/tcp
firewall-cmd --permanent --add-port=443/tcp
firewall-cmd --reload
- 富规则限制来源IP（防暴力破解）
firewall-cmd --permanent --add-rich-rule="rule family="ipv4" source address="192.168.1.0/24" service name="ssh" accept"
firewall-cmd --permanent --add-rich-rule="rule family="ipv4" service name="ssh" drop" # 其他来源SSH全部丢弃
firewall-cmd --reload
审计与日志加固
- 开启auditd审计
systemctl enable --now auditd
- 关键审计规则（/etc/audit/rules.d/audit.rules）
-w /etc/passwd -p wa -k passwd
-w /etc/shadow -p wa -k shadow
-w /etc/ssh/sshd_config -p wa -k sshd
-a always,exit -F arch=b64 -S execve -k exec_command
- 日志服务器集中（生产必备）
配置rsyslog转发到集中日志服务器。
KYSEC高级安全机制深度配置
这是银河麒麟独门绝技！
- 开启strict模式（KYSEC+SELinux+三权分立）
security-switch --set strict # 需要重启
- 执行控制白名单（防勒索病毒）
图形化：在“安全中心 → 应用保护 → 执行控制”添加信任程序
命令行：
exectl -a /usr/bin/bash # 授权bash
exectl -l # 查看列表
- 安全标签管理
chkysec -t trusted /usr/local/myapp # 给自定义程序打信任标签
系统更新与补丁管理（安全永不过期）
- 配置官方源在线更新
编辑/etc/yum.repos.d/kylin.repo（服务器版）或apt源（桌面版），确保指向官方updates仓库。
- 定期自动更新
# 服务器版yum-cron
yum install yum-cron
systemctl enable --now yum-cron
- 离线补丁升级
去官网“服务支持 → 系统更新”下载最新SP补丁包，使用rpm -Uvh批量升级。
银河麒麟官方提供“安全加固工具”（图形化），支持等保三级/四级一键扫描+修复，覆盖本文90%内容。生产环境强烈建议先用工具扫一遍，再手动精细化。
加固不是一劳永逸，要形成“最小化权限+及时更新+持续审计”的闭环。把本文收藏起来，下次部署银河麒麟服务器直接照着敲，3小时内就能让系统安全指数从60分飙到95分！
如果你的环境有特殊需求（如容器、虚拟化），欢迎留言交流，一起把国产系统玩得更安全、更极致！
