麒麟OS启用KYSEC内核级配置不可变策略需执行kysecctl --set config-immutable=on和file-protect=on，验证后重启kysec服务，并通过挂载/proc/sys为只读、冻结模块加载及MAC策略限制工具行为实现纵深防御。
直接对内核配置实施不可变锁定，不是修改几个参数，而是让系统在启动后拒绝任何对关键内核运行时状态的动态更改，从而切断攻击者利用配置篡改实现持久化或提权的路径。这属于纵深防御中“运行时加固”的关键一环，比单纯关服务、设密码更底层、更难绕过。
启用KYSEC内核级配置不可变策略
麒麟OS等国产系统内置的KYSEC框架提供原生支持，能将内核配置项标记为只读状态，连root进程也无法覆盖。
- 以root身份执行：
kysecctl --set config-immutable=on - 同步启用文件保护：
kysecctl --set file-protect=on，防止配置文件被替换 - 验证生效：
getstatus | grep "config-immutable"，输出应为config-immutable: on - 重启服务确保持久：
systemctl restart kysec
锁定内核参数接口（/proc/sys/）
/proc/sys/ 是用户空间修改内核参数的主要入口，禁用写入可阻断多数运行时调优类攻击。
- 临时禁止所有写操作：
mount -o remount,ro /proc/sys - 永久生效需在
/etc/fstab中添加：proc /proc/sys proc defaults,ro 0 0 - 若业务确需个别参数动态调整（如网络缓冲区），可单独挂载子目录为可写，例如：
mount -o remount,rw /proc/sys/net/ipv4
冻结关键内核模块加载机制
阻止未签名或未知内核模块加载，是防范Rootkit和内核级后门的核心手段。
- 设置内核启动参数：
module.sig_unenforce=0（强制签名验证） - 禁用模块自动加载：
echo 'install * /bin/true' > /etc/modprobe.d/disable-modload.conf - 锁定模块黑名单与白名单：
chattr +i /etc/modprobe.d/*.conf - 确认当前已加载模块可信：
lsmod | awk '{print $1}' | xargs modinfo --field signature | grep -v 'signature:'
结合SELinux/AppArmor限制内核配置工具行为
即使配置接口存在，也可通过MAC策略限制谁、在什么条件下能调用sysctlinsmodrmmod等命令。
- 为sysctl命令设置专用域（SELinux）：
semanage fcontext -a -t bin_t "/usr/sbin/sysctl"，再restorecon - 编写AppArmor配置，仅允许特定进程执行
sysctl -w且目标键名限定在白名单内（如net.ipv4.ip_forward） - 禁止非特权用户执行内核模块操作：
setsebool -P secure_mode_policyload off（关闭策略热加载）
