发现木马病毒提示后不能仅点“立即清除”，需先通过详情和日志确认事件类型与规则ID，再图形界面彻底隔离、命令行全盘扫描+强制清理、终止进程+禁用自启服务+验证网络阻断。
银河麒麟安全中心弹出“发现木马病毒”提示后，不能仅点击“立即清除”就认为处理完成——该提示仅表示KYSEC引擎触发了可疑行为告警，实际文件可能未被隔离、进程仍在内存运行、启动项未清理、或存在隐藏的持久化后门，必须执行多层验证与清除动作才能确保系统真正干净。
确认告警来源与真实威胁等级
安全中心界面右下角弹窗只显示“发现木马病毒”，但未说明是文件扫描命中、进程行为拦截还是网络连接告警。需先定位原始事件类型，避免误删系统文件或漏掉内存驻留型恶意代码。
点击弹窗右上角【详情】→ 查看【事件类型】字段：若为“文件扫描”则对应磁盘路径；若为“进程防护”则记录PID和进程名；若为“网络防护”则关注目标IP与端口。
打开终端，执行：sudo kysec-log --last 10 | grep -E "(malware|trojan|alert)"，筛选最近10条原始日志，确认告警时间戳、规则ID（如rule_id: KYSEC-TRJ-2023-07）及匹配路径。【规则ID决定处置方式，KYSEC-TRJ类必须走白名单清除流程，而KYSEC-BEHAVIOR类需结合ps aux分析进程树】
图形界面一键清除+隔离验证
在安全中心主界面，左侧导航栏点击【病毒防护】→ 右侧切换至【威胁记录】标签页。
找到对应告警条目，勾选左侧复选框 → 点击上方【清除威胁】按钮 → 弹出确认框时选择【彻底删除并隔离】而非【仅清除】。
清除完成后，不要直接关闭窗口，点击该条目右侧的【查看详情】→ 检查【隔离路径】是否为/var/lib/kysec/quarantine/下的带时间戳子目录。若路径显示为空或指向/tmp，则说明隔离失败，需手动介入。
命令行深度清理残留项
方法一：强制扫描全盘并导出结果
终端执行：sudo kysec-scan --full --report /tmp/scan-full-$(date +%s).json。此命令绕过图形界面缓存，调用底层引擎重新扫描所有挂载分区，耗时约8–15分钟。
扫描结束后，检查报告中"infected_files"数组是否为空。若仍有条目，执行：sudo kysec-clean --force --path $(jq -r '.infected_files[0]' /tmp/scan-full-*.json)，逐个强制清理。【jq需提前安装：sudo apt install jq】
方法二：终止可疑进程并清理自启项
根据上一步日志中获取的PID，执行：sudo kill -9 PID；再检查其父进程：ps -o pid,ppid,comm -p PID，对异常父进程一并终止。
清理开机自启项：sudo systemctl list-unit-files --type=service | grep -i "trojan\|backdoor\|remote"，对匹配项执行：sudo systemctl disable --now 服务名.service。
方法三：验证网络阻断规则是否生效
执行：sudo kysec-netfilter --list-rules，确认输出中包含对应恶意IP或域名的DROP规则；若无，手动添加：sudo kysec-netfilter --add-rule drop --dst 192.168.100.200（替换为目标IP）。
