如何配置系统防范恶意程序篡改核心权限配置文件防篡改防卫指南-安全-PHP中文网

最有效的防篡改是让文件“不可写”：linux用chattr +i从内核vfs层硬锁核心文件（如/etc/passwd），拒绝所有写操作；windows则通过权限固化、efs加密与defender防篡改保护组合实现等效防护，并需配套auditd/aide监控与原子化解锁流程。

如何配置系统防范恶意程序篡改核心权限配置文件防篡改防卫指南

最有效的防篡改不是靠杀毒软件扫描，而是让文件本身“不可写”——Linux用chattr +i从内核层锁死，Windows靠权限固化+防篡改保护双重拦截。关键不在于锁多少文件，而在于锁对、锁稳、锁得有闭环。

chattr +i 是唯一能拦住 root 权限恶意进程的底层手段，它在VFS层直接拒绝 write/unlink/rename 等系统调用，返回 EPERM 错误，与 SELinux、capabilities 无关。

必须锁定四类基础身份文件：/etc/passwd（防UID=0后门）、/etc/shadow（防密码哈希替换）、/etc/group、/etc/gshadow
高风险但需谨慎锁定：/etc/sudoers（务必先用 visudo -c 验证语法）、/etc/fstab（挂载失败将导致无法启动）、/boot/grub2/grub.cfg（内核升级时需临时解锁）
执行前严格三步：备份原文件 → 合规编辑并验证 → 执行 chattr +i；验证命令：lsattr /etc/passwd，输出应含 ----i--------e---
禁止对目录加 i（不支持），如需保护整个 /etc，可结合只读挂载或 chattr +a（仅追加）用于日志类路径

Windows 没有直接对应 chattr 的机制，但可通过权限控制、EFS 加密和系统级防篡改功能形成等效防线。

使用ydata-profiling（前身为pandas-profiling）生成全面的数据质量报告，包含相关性分析、缺失值模式和基数检测。导出交互式HTML仪表板和JSON摘要。

下载

对关键路径右键→属性→安全→编辑权限，移除普通用户及 Users 组的“写入”“修改”“删除”权限，仅保留 SYSTEM 和 Administrators 的读取+执行（如 C:\Windows\System32\drivers\etc\hosts）
用 icacls 批量固化权限：icacls C:\Windows\System32\drivers\etc\hosts /inheritance:r /grant:r "SYSTEM:(RX)""Administrators:(RX)"
启用 Windows Defender 防篡改保护（默认开启），防止恶意程序修改安全设置；同时开启“内存完整性”（即 HVCI），阻止未签名驱动加载，从内核层加固
对敏感配置文件启用 EFS 加密，确保物理介质被窃取后仍无法解密读取

静态锁定无法覆盖合法更新场景，必须叠加实时感知能力，否则等于“上锁却没装摄像头”。

Linux 推荐 auditd + chattr 组合：在 /etc/audit/rules.d/ 中添加规则，如 -a always,exit -F path=/etc/sudoers -F perm=w -k sudoers_write，再用 ausearch -k sudoers_write 快速溯源
部署 AIDE 或 Osquery 定期校验文件哈希、权限、属主变化，监控日志须独立外发（如远程 syslog），避免被本地攻击者清除
所有变更必须走“临时解锁→编辑→立即重锁”流程，建议封装为原子脚本，并用 logger 记录操作人、时间、动作
生产环境建议叠加 KYSEC（信创系统）或 eBPF 实时拦截程序，在 sys_openat/write 阶段直接阻断非法写入，实现毫秒级响应

盲目加 i 可能导致服务中断，动态生成或频繁更新的文件必须排除。

明确不锁：/etc/resolv.conf（NetworkManager 自动维护）、/etc/hostname（云平台自动同步）、/var/log/*（日志轮转必需写入）
业务配置若启用热重载（如 Nginx reload、systemd daemon-reload），也不宜加 i，可改用 inotifywait 监控 + 白名单进程过滤告警
锁定前确认 PAM 模块、用户管理工具（如 useradd）已适配 immutable 文件，避免新增用户失败