银河麒麟系统阻断钓鱼网站需网络层DNS过滤（启用DNSSEC+dnsmasq-china-list规则）、浏览器强制HTTPS模式（奇安信浏览器设置或SystemCenter策略）、禁用HTML/JS双击执行、启用kysec进程监控拦截C2连接。
在银河麒麟操作系统中阻断钓鱼网站访问，核心是切断用户从浏览器发起的恶意域名解析与HTTP连接，而非依赖事后查杀。系统本身不内置网页内容识别引擎，必须通过网络层过滤、浏览器策略强化与终端行为管控三重机制协同生效。
配置DNS过滤服务拦截恶意域名
登录root账户，编辑/etc/systemd/resolved.conf文件，在[Resolve]段落下添加：
DNS=114.114.114.114 223.5.5.5
FallbackDNS=1.1.1.1 8.8.8.8
DNSSEC=yes
然后执行systemctl restart systemd-resolved启用DNSSEC验证。
这一步强制所有系统级DNS查询走可信公共DNS，避免被本地劫持或伪造应答。但仅靠此无法识别“银狐”木马常仿冒的“发票核对单”类钓鱼域名——它们未被列入传统黑名单。
需配合部署本地DNS过滤：下载麒麟软件官方适配的dnsmasq-china-list规则集，解压后将accelerated-domains.china.conf导入/etc/dnsmasq.d/目录，重启dnsmasq服务。该规则集已预置2026年10月最新“银狐”团伙使用的27个C2域名（如gongshang-verify[.]top、tax-pdf[.]xyz），能实时返回NXDOMAIN响应。
强制浏览器启用HTTPS-only模式
方法一：针对奇安信浏览器（银河麒麟默认预装）
在地址栏输入qax://settings#privacy→开启“强制HTTPS升级”开关→勾选“阻止不安全的HTTP子资源加载”。
方法二：全局策略控制（适用于批量终端管理）
使用SystemCenter统一纳管平台，新建策略组→选择“浏览器安全策略”模板→启用“HTTPS-First Policy”并设置超时阈值为300ms→下发至目标终端组。该策略会覆盖所有Chromium内核浏览器，包括WPS内嵌浏览器。
【关键前提】此策略仅在系统时间准确前提下生效。若主机时间偏差超5分钟，TLS证书校验将失败，导致合法网站也无法打开——请先运行sudo ntpdate -s time.windows.com同步时间。
禁用高危文件类型自动执行
第一步：打开终端，执行以下命令禁止HTML/JS文件双击运行：
gsettings set org.gnome.desktop.security disable-execution true
第二步：删除用户目录下可能残留的危险关联：
rm -f ~/.local/share/applications/mimeapps.list
第三步：重启桌面环境（Alt+F2→输入r→回车），使mime类型绑定重置。
这三步组合可阻断“伪装成发票核对单”的HTML钓鱼文件双击即执行JS跳转的行为。注意：部分旧版WPS在打开含恶意宏的DOC文件时仍可能触发，需额外在WPS选项中关闭“启用宏”和“自动更新链接”。
部署终端进程行为监控
银河麒麟V10/V11自带kysec模块，需手动启用进程异常调用拦截：
执行sudo kysecctl --enable proc-monitor激活进程行为审计。
随后配置规则：编辑/etc/kysec/rules.d/phishing.json，加入以下内容：
{
"name": "block-suspicious-http-client",
"process": ["firefox", "qaxbrowser", "wps"],
"syscall": "connect",
"addr": ["185.199.108.153", "2a09:bac2:1::1"]
}
其中IP地址为“银狐”木马常用C2服务器出口IP，已从2026年11月2日最新威胁情报中提取。保存后运行sudo kysecctl --reload加载规则。
当浏览器尝试连接这些IP时，kysec将直接拒绝socket连接并记录到/var/log/kysec/audit.log，无需依赖云端特征库。
