需通过统信有固工具切换安全等级，并手动配置等保三级策略、启用三权分立、调整内核参数。具体包括：一、用统信有固选择基础级至等保三级合规级并应用；二、编辑pam及系统配置文件强化口令、登录与审计；三、创建三类角色账户并绑定权限组；四、修改grub参数启用kaslr、pti、smap等内核防护并重启验证。

如果您正在使用统信UOS桌面操作系统，并希望根据实际安全需求调整系统防护强度，则需通过内置安全加固工具启用并切换预设安全等级。以下是具体操作步骤：

一、使用统信有固（UHarden）一键切换安全等级

统信有固是统信软件官方提供的系统级安全配置工具，支持在不同安全基线之间快速切换，涵盖完整性度量、三权分立、访问控制强化等核心策略模块。

1、打开“启动器”，在搜索栏输入统信有固，点击图标运行该工具。

2、首次运行时，系统将提示输入管理员密码进行权限认证，输入后点击“确定”。

3、在主界面中，找到【安全等级】区域，点击下拉菜单，可选择：基础级、标准级、增强级、等保三级合规级四种预置策略。

4、选中目标等级后，点击【立即应用】按钮，工具将自动执行策略加载、服务重启与内核参数重载。

5、应用完成后，界面右上角显示“策略已生效”，同时底部状态栏提示当前激活的安全等级及对应启用的子模块名称。

二、手动配置等保三级合规相关策略项

当需对特定安全控制点进行精细化调整（如口令策略、登录失败锁定、审计日志保留周期），可在统信有固未覆盖场景下，通过命令行与配置文件组合方式实施。

1、执行命令：sudo vim /etc/pam.d/common-auth，在文件末尾添加口令复杂度校验规则。

2、执行命令：sudo vim /etc/login.defs，修改PASS_MAX_DAYS为90、PASS_MIN_DAYS为1、PASS_WARN_AGE为7。

3、执行命令：sudo vim /etc/pam.d/login，插入pam_tally2.so模块配置，设置deny=10、unlock_time=600、even_deny_root。

4、执行命令：sudo systemctl enable auditd，确保审计服务开机自启；再执行sudo auditctl -e 2启用不可变审计模式。

5、执行命令：sudo vim /etc/audit/rules.d/audit.rules，追加关键事件监控规则，例如：-w /etc/shadow -p wa -k identity。

三、启用并验证三权分立机制

三权分立将系统管理职能划分为系统管理员、安全管理员与审计管理员三类角色，各角色权限相互制约，防止越权操作与内部风险。

1、在统信有固主界面，点击【三权分立】开关，启用该机制。

2、点击【创建角色账户】，分别创建用户名为sysadm、secadm、audadm的专用账户。

3、为每个账户分配对应角色组：sysadm加入sysadmin组，secadm加入secadmin组，audadm加入auditadmin组。

4、执行命令：sudo usermod -aG sysadmin sysadm完成组权限绑定。

5、注销当前会话，使用新创建的任一角色账户登录，验证其仅能访问所属角色授权范围内的控制中心模块与系统命令。

四、调整内核安全参数以匹配所选等级

不同安全等级要求内核层面启用特定防护机制，如KASLR、SMAP、SMEP、堆栈保护等，需通过GRUB配置强制加载。

1、执行命令：sudo vim /etc/default/grub，定位GRUB_CMDLINE_LINUX行。

2、在引号内追加参数：slab_nomerge pti=on spectre_v2=on spec_store_bypass_disable=on kpti=on smap=1。

3、执行命令：sudo update-grub刷新引导配置。

4、执行命令：sudo reboot重启系统使参数生效。

5、重启后执行：cat /sys/kernel/debug/x86/pti_enabled和cat /sys/kernel/debug/x86/smap_enabled，确认返回值均为1。