如何通过对系统内核配置实施不可变锁定提升防御层级

麒麟OS启用KYSEC内核级配置不可变策略需执行kysecctl --set config-immutable=on和file-protect=on，验证后重启kysec服务，并通过挂载/proc/sys为只读、冻结模块加载及MAC策略限制工具行为实现纵深防御。

直接对内核配置实施不可变锁定，不是修改几个参数，而是让系统在启动后拒绝任何对关键内核运行时状态的动态更改，从而切断攻击者利用配置篡改实现持久化或提权的路径。这属于纵深防御中“运行时加固”的关键一环，比单纯关服务、设密码更底层、更难绕过。

启用KYSEC内核级配置不可变策略

麒麟OS等国产系统内置的KYSEC框架提供原生支持，能将内核配置项标记为只读状态，连root进程也无法覆盖。

• 以root身份执行：kysecctl --set config-immutable=on
• 同步启用文件保护：kysecctl --set file-protect=on，防止配置文件被替换
• 验证生效：getstatus | grep "config-immutable"，输出应为config-immutable: on
• 重启服务确保持久：systemctl restart kysec

锁定内核参数接口（/proc/sys/）

/proc/sys/ 是用户空间修改内核参数的主要入口，禁用写入可阻断多数运行时调优类攻击。

• 临时禁止所有写操作：mount -o remount,ro /proc/sys
• 永久生效需在/etc/fstab中添加：proc /proc/sys proc defaults,ro 0 0
• 若业务确需个别参数动态调整（如网络缓冲区），可单独挂载子目录为可写，例如：mount -o remount,rw /proc/sys/net/ipv4

冻结关键内核模块加载机制

阻止未签名或未知内核模块加载，是防范Rootkit和内核级后门的核心手段。

• 设置内核启动参数：module.sig_unenforce=0（强制签名验证）
• 禁用模块自动加载：echo 'install * /bin/true' > /etc/modprobe.d/disable-modload.conf
• 锁定模块黑名单与白名单：chattr +i /etc/modprobe.d/*.conf
• 确认当前已加载模块可信：lsmod | awk '{print $1}' | xargs modinfo --field signature | grep -v 'signature:'

结合SELinux/AppArmor限制内核配置工具行为

即使配置接口存在，也可通过MAC策略限制谁、在什么条件下能调用sysctlinsmodrmmod等命令。

• 为sysctl命令设置专用域（SELinux）：semanage fcontext -a -t bin_t "/usr/sbin/sysctl"，再restorecon
• 编写AppArmor配置，仅允许特定进程执行sysctl -w且目标键名限定在白名单内（如net.ipv4.ip_forward）
• 禁止非特权用户执行内核模块操作：setsebool -P secure_mode_policyload off（关闭策略热加载）