麒麟OS如何开启系统的安全加固模式
银河麒麟OSV10集成KYSEC安全加固模块，需手动激活。通过getstatus检查状态，临时启用执行kysecenable，永久启用需修改/etc/kysec/kysec.conf并重启服务。还应启用文件保护、进程保护、设备管控等子功能组件以形成完整防护。
如果你正在管理一台银河麒麟操作系统服务器或桌面终端，却还没启用系统内置的安全加固机制，那系统可能面临弱口令滥用、未授权服务调用、内核模块被恶意加载等基础性风险。银河麒麟OS自V10起就集成了KYSEC（Kylin Security Enhancement Component）作为核心安全加固模块——它可不是一个开关式的功能，需要按模式激活，并配置各子功能组件才能真正生效。
KYSEC状态检查与模式切换
打开终端，执行以下命令确认当前KYSEC运行状态：
【必须使用普通用户权限执行】 getstatus
观察输出中“Kysecstatus”字段值：若为“disable”，说明安全加固未启用；若为“normal”，表示已处于强制模式；若为“warning”，则为警告模式。临时启用强制模式执行：
kysec enable
这个命令仅在当前会话生效，重启后失效。如需永久启用，必须配合配置文件修改。
永久启用KYSEC强制模式
编辑KYSEC主配置文件：
sudo vim /etc/kysec/kysec.conf
找到行 kysec_status=disable，将其改为 kysec_status=normal。注意：此文件中所有参数均不可添加空格或中文符号，否则KYSEC服务启动失败。
保存退出后，重启KYSEC服务使配置落地：
sudo systemctl restart kysec
再次运行 getstatus，确认“Kysecstatus”显示为“normal”且各子功能（如file protect、process protect）状态不再为“off”。
启用关键子功能组件
仅开启KYSEC框架本身不足以形成防护，必须手动激活具体控制项：
第一步：启用文件保护功能，防止非授权程序修改系统关键二进制文件：
sudo kysecctl --file-protect on
第二步：启用进程保护，阻止未签名进程注入或劫持系统服务：
sudo kysecctl --process-protect on
第三步：启用设备管控，限制USB存储设备自动挂载行为——政务场景的刚需：
sudo kysecctl --device-control on
执行完三步后，运行 kysecctl --status 查看各组件返回“enabled”。【若某项返回disabled，请检查是否已安装对应内核模块：kysec-file、kysec-process、kysec-device】