统信UOS中防篡改需结合安全中心图形界面与chattr命令行：前者适合快速保护单个文件并自动还原，后者通过+i属性实现底层强制锁定，两者均需验证权限拒绝、内容回滚及时间戳禁止更新。
在统信UOS中防止关键配置文件被意外或恶意修改，需启用系统级防篡改机制，避免因权限误调、脚本误执行或提权攻击导致服务中断或安全漏洞。
通过安全中心图形界面开启防篡改
该方式适合日常运维人员快速保护单个或少量核心配置文件，无需记忆命令，操作后立即生效且有可视化反馈。
1、点击左下角“开始菜单”→搜索“安全中心”并打开。
2、在左侧导航栏选择【文件保护】模块，确保右上角开关已启用。
3、点击“添加文件”按钮，在弹窗中浏览并选中目标配置文件（如/etc/passwd、/etc/ssh/sshd_config等）。
4、输入当前用户登录密码完成身份认证，点击“确定”后文件即被锁定。
5、此时尝试用文本编辑器打开该文件并保存，会提示“权限拒绝”；用sudo vim强行编辑后保存，系统仍会自动还原原始内容——这是防篡改策略生效的明确标志。
使用chattr命令行强制锁定文件
此方法适用于批量处理、脚本集成或需绕过图形界面限制的场景，直接作用于ext4文件系统底层属性，防护强度更高。
方法一：单文件锁定
1、打开终端，执行：sudo chattr +i /etc/resolv.conf。
2、【+i属性不可逆，移除前必须先执行sudo chattr -i，否则连root也无法修改或删除该文件】
3、验证是否生效：运行lsattr /etc/resolv.conf，输出中应含字母i（immutable）。
方法二：递归锁定整个配置目录（慎用）
1、仅对确需整体防护的目录（如/etc/sysctl.d/）执行：sudo chattr -R +i /etc/sysctl.d/。
2、该操作会同时锁定目录内所有现有及后续新建文件，若需更新配置，必须先解除锁定→修改→再重新锁定。
验证防篡改是否真正生效
完成任一上述设置后，必须实测确认防护能力，避免误以为已启用而实际未生效。
第一步：用普通用户身份尝试覆盖文件：echo "test" > /etc/hosts → 应返回Permission denied。
第二步：用root身份强制写入：sudo sh -c 'echo "127.0.0.1 test.local" >> /etc/hosts' → 若使用chattr +i则失败；若仅靠安全中心，则可能成功但下次重启后自动回滚。
第三步：检查文件时间戳是否被禁止更新：sudo touch /etc/hosts → 成功即说明防篡改未启用或策略不完整。
第四步：重启系统后再次执行第二步，确认文件内容是否恢复至锁定前状态。
