高安全环境中需分层禁用Ctrl+Alt+Del：一、systemd层屏蔽ctrl-alt-del.target并设HandleKeyCombination=ignore；二、内核层禁用ctrl-alt-del和sysrq；三、跨TTY/登录界面实测无响应；四、配套禁用KVM热键透传及BIOS USB热键。
在高安全环境（如金融核心服务器、无人值守机房、KVM直连管理终端）中，禁用 Ctrl+Alt+Del 不仅要阻断重启行为，还需消除所有潜在触发路径——包括用户空间、init 系统、内核级热键联动。单一配置往往失效，必须分层加固。
一、彻底屏蔽 systemd 层的热键绑定
现代 Linux（CentOS 8+/RHEL 8+/Ubuntu 20.04+）默认将 Ctrl+Alt+Del 映射到 ctrl-alt-del.target，该 target 通常软链接至 reboot.target。仅改 logind.conf 不足，需双轨阻断：
- 执行 systemctl mask -f ctrl-alt-del.target：强制创建指向
/dev/null的符号链接，使该 target 永久不可激活 - 同步修改 /etc/systemd/logind.conf，设 HandleKeyCombination=ignore，防止 TTY 或登录屏侧信道响应
- 运行 sudo systemctl daemon-reload && sudo systemctl restart systemd-logind 确保生效
二、切断 init 级别与内核的底层通路
某些场景（如内核 panic 后进入紧急模式、KVM 控制台直连）可能绕过 systemd，直接响应内核级中断。需补充两层防护：
- 禁用内核 Ctrl+Alt+Del 处理机制：echo 'kernel.ctrl-alt-del = 0' | sudo tee -a /etc/sysctl.conf && sudo sysctl -p
- 关闭 SysRq 功能（防 Alt+SysRq+B 强制重启）：echo 'kernel.sysrq = 0' | sudo tee -a /etc/sysctl.conf && sudo sysctl -p
- 若系统仍含
/etc/inittab（极少数兼容模式），确认其中ca::ctrlaltdel:行已被注释或删除
三、验证与最小化残留风险
加固后必须跨上下文实测，不能只在图形界面测试：
- 切换至 TTY（Ctrl+Alt+F2），按下 Ctrl+Alt+Del —— 应完全无响应（不闪屏、不登出、不打印日志）
- 在登录界面（GDM/LightDM）尝试 —— 不应唤出 SAS 或锁屏菜单
- 检查关键状态：systemctl is-enabled ctrl-alt-del.target 应返回
masked；loginctl show --property=HandleKeyCombination 应为ignore - 查看内核参数：sysctl kernel.ctrl-alt-del kernel.sysrq 两个值均应为
0
四、配套物理与策略加固建议
技术禁用只是基础，高安全环境需同步降低物理暴露面：
- 对 KVM/串口控制台设备，禁用其本地快捷键透传功能（参考厂商手册关闭 “Hotkey Passthrough”）
- 在 BIOS/UEFI 中禁用 USB 键盘热键支持（部分服务器支持 “USB Keyboard Hotkey Disable” 选项）
- 运维操作规范中明确：所有远程维护必须通过 SSH + 密钥认证，禁止使用带物理按键的远程桌面设备直连管理口
