银河麒麟V10 SP3 2303等保三级加固需严格按版本适配，涵盖KYSEC strict模式启用、PAM密码与账户锁定策略配置、firewalld最小化端口管控、auditd全事件审计及自动备份验证闭环，所有配置均支持grep/auditctl -l/kysec_get -s等现场命令验证。

你需要在银河麒麟操作系统上完成等保三级合规性配置，确保身份鉴别、访问控制、安全审计等核心要求全部落地，且每项配置都能通过测评老师现场执行的grep、auditctl -l、kysec_get -s等命令验证返回预期结果。

确认系统版本与加固前提

先确认当前系统为银河麒麟V10 SP3 2303版本，这是等保三级加固手册唯一完整适配的发行版：cat /etc/kylin-release | grep -E "V10.*SP3.*2303"。若输出为空，说明系统版本不匹配，后续所有PAM、KYSEC、firewalld配置均可能失效或被拒绝加载。

执行前必须用root权限创建备份目录并自动归档/etc关键配置：mkdir -p /data/equality_backup_$(date +%F) && tar czf /data/equality_backup_$(date +%F)/etc_bak.tar.gz /etc。【未备份直接修改/etc/pam.d/system-auth可能导致root账户被锁死】

打开新终端保持当前SSH会话活跃，所有配置修改后必须在此新终端中验证生效，再关闭原会话。

启用KYSEC strict强安全模式

方法一：使用security-switch工具（仅限V10 SP3及以上）

第一步：以root身份运行security-switch --setstrict，该命令将自动启用三员分立账户（sysadm/secadm/auditadm）、加载MAC策略模块、重置audit日志路径，并禁用所有未签名二进制文件的执行权限。

第二步：执行reboot立即重启，strict模式仅在内核启动阶段生效，运行时切换无效。

方法二：手动注入GRUB参数（兼容SP1/SP2但风险更高）

echo "kysec.strict=1" > /etc/default/grub.d/kysec.cfg && update-grub && reboot。注意：若系统启用了Secure Boot且未导入自定义密钥，该参数会被UEFI固件静默丢弃，必须先在BIOS中临时关闭Secure Boot再执行。

配置PAM密码与账户锁定策略

编辑/etc/security/pwquality.conf，设置以下五项强制规则：

minlen = 12（等保三级明文要求最小长度12位）

dcredit = -1（至少1个数字）

ucredit = -1（至少1个大写字母）

lcredit = -1（至少1个小写字母）

ocredit = -1（至少1个特殊字符）

编辑/etc/pam.d/system-auth，在auth [default=die]行上方插入：auth [default=die] pam_faillock.so authfail deny=5 unlock_time=900 fail_interval=900。这表示连续5次输错密码后，该账户被锁定15分钟，且只统计900秒内的失败次数——避免因误操作触发永久锁定。

同步修改/etc/login.defs：PASS_MAX_DAYS 90 → 密码最长有效期90天；PASS_WARN_AGE 7 → 到期前7天开始登录时警告；FAILLOG_ENAB yes → 启用登录失败日志记录。

配置firewalld最小化端口管控

先清空默认zone的所有服务：firewall-cmd --permanent --zone=public --remove-service={ssh,dhcpv6-client,cockpit}。等保三级严禁开放非业务必需端口，预设服务必须显式声明。

只放行真实业务端口，例如Web服务：firewall-cmd --permanent --zone=public --add-port=443/tcp。禁止使用--add-service=http，因http服务默认开启80端口且无法细粒度控制TLS版本。

启用富规则限制SSH来源IP：firewall-cmd --permanent --add-rich-rule='rule family="ipv4" source address="192.168.10.0/24" service name="ssh" accept'。【未加source限制的SSH端口在等保现场测评中直接判为高风险项】

最后重载：firewall-cmd --reload && firewall-cmd --list-all。

启用auditd全事件审计

执行auditctl -e 2锁定审计配置，防止运行时被篡改。这是等保三级“安全审计”条款的硬性要求，未执行该命令则所有audit规则视为无效。

向/etc/audit/rules.d/下写入custom.rules，包含12类关键事件规则，例如：

-w /etc/passwd -p wa -k identity

-a always,exit -F arch=b64 -S execve -F uid!=0 -k privileged_exec

-w /var/log/audit/ -p wa -k audit_log

执行augenrules --load强制加载，然后systemctl restart auditd。验证是否生效：ausearch -m USER_LOGIN -ts recent | head -5，应能实时捕获登录事件。