银河麒麟安全中心可通过图形界面禁用deb包安装并执行命令行锁定实现深度防护。首先进入安全中心→高级配置→执行控制，禁用“deb包安装”策略；再用sudo kysec_set -n exectl -x 命令清除dpkg与gdebi授信标签，最后通过双击和dpkg -I测试验证拦截效果。
银河麒麟安全中心默认允许用户双击安装本地deb包，但若系统处于政务、金融或研发等高安全要求环境，需阻止任何未经签名认证的外部deb文件执行安装行为，防止恶意软件通过伪装成合法安装包绕过防护机制。
通过安全中心图形界面禁用未知deb安装
该方式直接作用于KYSEC执行控制策略层，无需命令行操作，适用于日常办公终端统一管控。
1、点击屏幕左下角【开始菜单】→在搜索框输入“安全中心”→单击启动应用。
2、在左侧导航栏中依次点击【高级配置】→【执行控制】。
3、在右侧策略列表中找到“deb包安装”或“第三方软件包执行”相关条目（不同SP版本文字略有差异，关键词含“deb”“package”“installer”即可）。
4、将对应策略状态由“启用”切换为“禁用”，系统会弹出二次确认对话框，点击【确定】。
【禁用后，双击任意.deb文件将直接提示“此操作已被系统策略阻止”，不再弹出安装确认窗口或调用gdebi/dpkg】
命令行强制锁定deb安装入口（深度防护）
图形界面设置仅拦截GUI触发路径，而命令行调用dpkg -i或gdebi仍可能绕过。如需彻底封禁，必须清除KYSEC对deb安装工具的授信标签。
方法一：清除dpkg工具的执行白名单
执行以下命令撤销dpkg的系统级执行许可：
sudo kysec_set -n exectl -x /usr/bin/dpkg
方法二：同步清除gdebi及其依赖组件
gdebi底层仍调用dpkg，但其图形界面可能被单独授信，需一并清理：
sudo kysec_set -n exectl -x /usr/bin/gdebi /usr/bin/gdebi-gtk
执行完成后，普通用户再运行sudo dpkg -i xxx.deb或右键用GDebi打开，均会触发KYSEC拦截并显示“未授权执行”警告，且无法通过“始终允许”绕过——因为授信标签已被移除。
验证是否生效
第一步：新建测试文件
在/home/用户名/Downloads目录下创建一个空deb包用于验证：touch test_1.0_all.deb
第二步：尝试双击安装
在文件管理器中双击该.deb文件，观察是否弹出KYSEC拦截提示而非GDebi安装窗口。
第三步：命令行验证
打开终端，执行：dpkg -I ~/Downloads/test_1.0_all.deb
若返回“Permission denied”或“KYSEC: execution denied for /usr/bin/dpkg”，说明策略已生效；若仍显示“package information”，则需检查kysec_set命令是否以root权限执行且路径准确。
