统信uos安全加固需覆盖六大维度，操作前须管理员登录并备份配置；首选统信有固一键切换至“等保三级合规级”，自动启用三权分立、完整性度量等12项策略，确认“策略已生效”后方可继续；身份鉴别须设密码强度高、90天强制更换、5次失败锁定3分钟；服务器版需命令行深度配置pam密码策略与login.defs参数；禁用root远程登录，创建专用账户并启用密钥认证、禁用密码登录；配置pam tally2实现10次失败锁定600秒；三权分立须创建sysadm/secadm/audadm三角色并保护关键文件；内核防护需在grub中启用kaslr、pti、smap等参数并重启验证。
统信UOS系统安全加固需覆盖身份鉴别、访问控制、安全审计、SSH服务、内核防护与应用管控六大维度，操作前必须以管理员身份登录并完成配置文件备份，否则后续策略可能无法生效或导致系统不可用。
使用统信有固一键切换安全等级
这是最快速启用合规基线的方式，适用于等保三级或日常高安全场景。
打开“启动器”，在搜索栏输入“统信有固”，点击图标运行工具。
输入管理员密码完成权限认证。
在主界面【安全等级】下拉菜单中，选择“等保三级合规级”——该等级自动启用三权分立、完整性度量、关键文件保护、内核模块黑名单等12项子策略。
【必须确认右上角显示“策略已生效”且底部状态栏列出已激活模块】，否则说明部分策略加载失败，需检查日志（sudo journalctl -u uharden -n 50）。
强化身份鉴别与口令策略
方法一：图形化快速设置（仅限桌面版）
进入“控制中心→账户→密码安全”，将“密码强度”设为“高”，开启“90天强制修改”和“5次输错锁定3分钟”。
方法二：命令行深度配置（服务器版/桌面版均适用）
执行 sudo apt-get install -y libpam-pwquality cracklib-runtime 安装校验组件。
编辑 /etc/pam.d/common-password，在末尾添加一行：
password requisite pam_pwquality.so retry=3 minlen=12 maxrepeat=3 ucredit=-2 lcredit=-2 dcredit=-2 ocredit=-2 difok=5 gecoscheck=1 enforce_for_root
这行配置强制密码含2个大写字母、2个小写字母、2个数字、2个特殊符号，新旧密码至少5字符不同，且root账户同样受约束——若漏掉 enforce_for_root，root仍可设弱密码。
再执行 sudo vim /etc/login.defs，修改三行参数：
PASS_MAX_DAYS 90
PASS_MIN_DAYS 1
PASS_WARN_AGE 7
禁用Root远程登录并启用密钥认证
第一步：禁止root通过SSH直接登录
执行 sudo vim /etc/ssh/sshd_config，找到 PermitRootLogin 行，将其改为 PermitRootLogin no。
第二步：创建专用管理账户
运行 sudo useradd -m adminops && sudo passwd adminops && sudo usermod -aG sudo adminops，确保该账户具备sudo权限且不共享root密码。
第三步：启用密钥登录并禁用密码登录
在客户端生成密钥对：ssh-keygen -t ed25519 -C "adminops@uos"；将公钥内容追加至服务器上 adminops 用户的 ~/.ssh/authorized_keys 文件中。
回到 /etc/ssh/sshd_config，确认以下两行已取消注释并设为 yes：
PubkeyAuthentication yes
PasswordAuthentication no
【修改后必须执行 sudo systemctl restart sshd，且务必保持一个本地终端会话畅通，避免远程连接中断后无法恢复】
配置PAM登录失败锁定机制
方法1：本地终端登录锁定
执行 sudo vim /etc/pam.d/login，插入以下行：
auth [default=die] pam_tally2.so deny=10 unlock_time=600 even_deny_root root_unlock_time=600
方法2：SSH远程登录锁定
执行 sudo vim /etc/pam.d/sshd，插入相同内容。
验证是否生效：连续输错10次密码后，执行 sudo pam_tally2 --user=adminops 查看计数；600秒后再次执行应显示 count=0。
注意：此配置不会影响已建立的SSH会话，只作用于新发起的登录请求。
启用三权分立与关键文件保护
在统信有固主界面点击【三权分立】开关，启用后点击【创建角色账户】。
依次创建三个账户：
— 系统管理员（sysadm），加入 sudo 组；
— 安全管理员（secadm），加入 security 组；
— 审计管理员（audadm），加入 audit 组。
创建完成后，立即在【关键文件保护】模块中添加 /etc/shadow、/etc/passwd、/etc/ssh/sshd_config 三条路径，启用防篡改保护。
执行 sudo systemctl restart uharden.service 确保所有角色策略加载完成。
调整内核参数增强防护能力
执行 sudo vim /etc/default/grub，找到 GRUB_CMDLINE_LINUX 行，在引号内追加：
kaslr pti=on smap=on spectre_v2=on spec_store_bypass_disable=on
保存后执行 sudo update-grub && sudo reboot，重启后验证：
cat /sys/kernel/debug/x86/pti_enabled → 应返回 1
cat /sys/kernel/debug/x86/kaslr_enabled → 应返回 1
若任一返回0，说明内核参数未生效，需检查 grub 配置语法是否错误或是否存在引导项冲突。
