核心是确认系统镜像未被篡改、未损坏且关键组件保持原始可信状态；需分四阶段闭环验证：下载时比对官方SHA256值并用GPG验证签名，写入U盘后校验块设备哈希，首次启动后检查内核版本、关键包完整性及Secure Boot状态，长期运行中建立AIDE基线并启用auditd监控。
安装完成后验证操作系统完整性，核心是确认你装上的系统镜像没被篡改、没在传输中损坏，且关键组件仍保持原始可信状态。这不是装完就结束的事，而是从下载那一刻起就要介入的闭环动作。
下载阶段：先核对官方提供的哈希值
拿到ISO或IMG文件后，必须比对它与官网公布的哈希值是否一致。主流发行版（CentOS、Ubuntu、银河麒麟、统信UOS）都提供SHA256校验值，部分还附带PGP签名。
- Linux下用sha256sum 文件名.iso计算本地哈希，再和官网页面或.sha256文件里的值逐字比对
- Windows可用CertUtil -hashfile 文件名.iso SHA256，结果不含空格和换行，方便粘贴比对
- 若官网同时提供.asc或.sig签名文件，需用gpg --verify验证——这不仅能确认文件未损坏，还能确认发布者身份可信
安装介质制作后：再验一次写入结果
U盘或光盘写入过程本身也可能出错。很多用户跳过这步，导致装完系统就异常，却误以为是驱动或兼容性问题。
- 用dd if=/dev/zero of=/dev/sdX bs=1M count=100清空U盘（注意替换sdX为实际设备名），再用balenaEtcher或dd写入，完成后立即执行sha256sum /dev/sdX（不是U盘挂载路径，是块设备本身）
- 对比该结果与原始ISO的SHA256值——二者必须完全一致，否则说明写入失败或U盘有坏块
系统首次启动后：检查基础组件是否被替换
哪怕镜像完整，若安装过程被劫持（如UEFI固件被篡改、引导加载器被注入），最终运行的系统仍可能不可信。此时要快速验证几个锚点：
- 运行uname -r，确认内核版本与所选镜像标注版本一致（例如银河麒麟SP3应为5.10.0-117）
- 执行rpm -Va | grep '^..5'（RHEL/CentOS/麒麟）或dpkg --verify（Debian/Ubuntu），检查关键包文件内容、权限、属主是否被改动
- 查看systemctl status systemd-boot-check或efibootmgr -v，确认Secure Boot处于Enabled状态，且启动项签名有效
长期运行中：建立基线并持续监控
一次性验证只能保“起点干净”，不能防后续入侵。生产环境需部署主动监控机制：
- 用aide或tripwire在首次干净启动后生成文件指纹库，之后定期扫描比对
- 启用auditd，重点关注/bin、/sbin、/usr/bin等目录的write,attr_modify事件
- 对关键服务（如sshd、crond）的二进制文件做定时哈希快照，存到离线位置，避免被攻击者同步篡改
