等保测评命令——Kylin Linux

依据 GB/T 22239-2019《信息安全技术 网络安全等级保护基本要求》等保2.0三级 标准，针对 Kylin Linux（银河麒麟）操作系统 给出可直接落地的测评命令清单。

覆盖身份鉴别、访问控制、安全审计、入侵防范、恶意代码防范等核心控制点，并结合 Kylin V10 特有安全增强机制（如 AppArmor、可信计算、国密支持）进行优化调整。

一、身份鉴别（8.1.4.1）

1.1 账户唯一性与密码复杂度

Kylin V10 特有配置：

# 查看默认启用的密码复杂度模块cat /etc/pam.d/system-auth |grep-E"pam_cracklib|pam_pwquality"# 合规配置示例minlen=8dcredit=-1 ucredit=-1 ocredit=-1 lcredit=-1# 要求：至少1数字、1大写、1小写、1特殊字符

1.2 登录失败处理与会话超时

1.3 远程管理安全

# 确认SSH服务运行systemctl status sshd# 检查SSH安全配置cat /etc/ssh/sshd_config |grep-E'PermitRootLogin|Protocol|PubkeyAuthentication'# 合规要求：PermitRootLogin no、Protocol 2、PubkeyAuthentication yes# 确认未开放Telnetss -tuln|grep':23'

高风险项：使用Telnet或允许root远程登录，直接判定不符合三级要求。

1.4 双因子认证（高风险项）

测评方法：

• 访谈确认：是否采用"口令+数字证书/Ukey"组合

• 技术核查：

# 检查SSH公钥认证配置grep"PubkeyAuthentication yes" /etc/ssh/sshd_config# 检查PAM模块是否集成双因子cat /etc/pam.d/sshd |grep-E"pam_pkcs11|pam_google_authenticator"# 查看证书存储（如使用Ukey）ls /etc/pki/nssdb/

二、访问控制（8.1.4.2）

2.1 账户与权限管理

2.2 强制访问控制（Kylin特有）

Kylin V10 默认使用 AppArmor 替代 SELinux：

# 检查AppArmor状态aa-status# 查看已加载的配置文件aa-status |grep enforce# 验证关键进程策略sudo apparmor_parser -q /etc/apparmor.d/usr.sbin.sshdsudo apparmor_parser -q /etc/apparmor.d/usr.sbin.mysqld# 查看AppArmor日志dmesg|grep-i apparmor

达标判据：关键进程（sshd、mysqld、nginx等）应配置AppArmor策略并处于enforce模式。

三、安全审计（8.1.4.3）

3.1 审计服务启用

3.2 日志备份与防篡改

# 检查远程日志备份配置grep-E'@\w+.*514' /etc/rsyslog.conf /etc/rsyslog.d/*.conf# 合规配置示例echo"*.info;mail.none;authpriv.none;cron.none @192.168.1.100:514">> /etc/rsyslog.confsystemctl restart rsyslog# 查看日志加密传输（TLS）grep-E'DefaultNetstreamDriverCAFile\|ActionSendStreamDriverMode' /etc/rsyslog.conf

四、入侵防范（8.1.4.4）

4.1 最小化安装与漏洞修复

4.2 端口与防火墙管控

Kylin V10 防火墙配置：

# 查看默认防火墙（UFW）sudo ufw status numbered# 合规配置示例sudo ufw default deny incomingsudo ufw default allow outgoingsudo ufw allow from 10.1.1.0/24 to any port 22 proto tcpsudo ufw enable

五、恶意代码防范（8.1.4.5）

高风险项：未部署实时防病毒工具，直接判定不符合三级要求。

Kylin 特有安全中心：

# 启动麒麟安全中心（图形化）kysec-center &# 命令行查看安全状态kysec-status# 查看病毒查杀记录cat /var/log/kysec/antivirus.log

六、可信验证（Kylin特有，8.1.4.6）

可信启动验证：

# 查看可信启动链cat /sys/kernel/security/ima/ascii_runtime_measurements |head-5# 验证系统完整性kysec-verify --check-system

七、数据备份与恢复（8.1.4.9）

Kylin 备份工具：

# 使用麒麟备份还原工具kybackup --create--name system-$(date +%F)--include /etc /var/log /home# 查看备份列表kybackup --list# 验证备份完整性kybackup --verify--name system-$(date +%F)

一键巡检脚本（Bash）

#!/bin/bash# Kylin Linux V10 等保三级一键巡检脚本# 执行用户：rootecho"===== 1 身份鉴别 ====="echo"--- 空口令检查 ---"awk -F: '$2==""{print "空口令用户: "$1}' /etc/shadowecho"--- 密码有效期 ---"grep-E'PASS_MAX_DAYS|PASS_MIN_DAYS' /etc/login.defsecho"--- 密码复杂度 ---"grep-E'pam_cracklib|pam_pwquality' /etc/pam.d/system-auth |head-5echo"--- 登录失败锁定 ---"grep pam_tally2 /etc/pam.d/sshdecho"--- SSH配置 ---"grep-E'PermitRootLogin|Protocol|ClientAlive' /etc/ssh/sshd_config |head-5echo""echo"===== 2 访问控制 ====="echo"--- 默认账户状态 ---"grep-E'adm|lp|sync|halt|news|uucp|operator|games|gopher' /etc/shadow |head-5echo"--- 关键文件权限 ---"stat-c'%a %n' /etc/passwd /etc/shadow 2>/dev/nullecho"--- AppArmor状态 ---"aa-status 2>/dev/null |head-10||echo"AppArmor未安装"echo""echo"===== 3 安全审计 ====="echo"--- auditd状态 ---"systemctl is-active auditd && systemctl is-enabled auditdecho"--- 审计规则数量 ---"auditctl -l2>/dev/null |wc-lecho"--- 日志权限 ---"stat-c'%a %U:%G' /var/log/audit/audit.log 2>/dev/nullecho"--- 远程日志配置 ---"grep-E'@\w+.*514' /etc/rsyslog.conf /etc/rsyslog.d/*.conf 2>/dev/null |head-3echo""echo"===== 4 入侵防范 ====="echo"--- 高危端口 ---"ss -tunlp|grep-E'0.0.0.0:23|0.0.0.0:111|0.0.0.0:513'echo"--- 待更新包 ---"apt list --upgradable2>/dev/null |wc-lecho"--- 防火墙状态 ---"ufw status verbose 2>/dev/null |head-5||echo"UFW未启用"echo""echo"===== 5 恶意代码防范 ====="echo"--- ClamAV状态 ---"systemctl is-active clamav-daemon 2>/dev/nullsystemctl is-enabled clamav-daemon 2>/dev/nullecho"--- 病毒库版本 ---"freshclam --version2>/dev/null ||echo"未安装freshclam"echo""echo"===== 6 可信验证（Kylin特有） ====="echo"--- FIPS模式 ---"fips-mode-setup --check2>/dev/null ||echo"未启用FIPS"echo"--- Secure Boot ---"mokutil --sb-state 2>/dev/null ||echo"无法检测Secure Boot"echo"--- TPM状态 ---"dmesg|grep-i"tpm"|head-3echo""echo"===== 7 数据备份 ====="echo"--- 备份任务 ---"crontab-l2>/dev/null |grep-i backup ||echo"未配置备份任务"echo"--- 备份目录 ---"stat-c'%a %U:%G' /backup 2>/dev/null ||echo"备份目录不存在"echo""echo"===== 巡检完成 ====="

高风险项重点核查清单

Kylin V10 特有安全功能

1. 国密算法支持

# 查看内核支持的国密算法cat /proc/crypto |grep-E"sm2|sm3|sm4"# 配置SSH使用国密（Kylin V10 SP2+）echo"Ciphers sm4-gcm@openssh.com,sm4-ctr@openssh.com">> /etc/ssh/sshd_configecho"MACs hmac-sm3@openssh.com">> /etc/ssh/sshd_configsystemctl restart sshd

2. 麒麟安全体系（KYSEC）

# 查看安全等级cat /proc/sys/kernel/kysec# 查看执行控制模式kysec-get --exec /usr/bin/python3# 设置文件安全标记（禁止执行）kysec-set --label0 /path/to/file

3. 三员分立（系统管理员/安全管理员/审计管理员）

# 查看当前用户角色kysec-role# 切换至安全管理员（需插入Ukey）su - secadmin# 查看审计日志（审计管理员）ausearch -ua auditadmin -ts today

版本差异说明（V10 vs V10 SP1/SP2/SP3）

测评执行要点

1. 权限要求

• 所有命令需 root 或 sudo 权限执行

• 三员分立环境下，需分别使用 sysadmin、secadmin、auditadmin 账户执行对应操作

2. 现场核查重点

• 密码策略：不仅看配置，需尝试创建弱口令用户验证策略是否生效

• KYSEC标记：检查关键系统文件是否被标记为不可篡改

• 国密应用：确认业务系统是否调用国密算法（检查 /proc/crypto）

• 可信启动：检查BIOS设置，确认Secure Boot和TPM已启用

3. 与CentOS/UOS对比

常用命令速查

# 用户与权限cat /etc/passwd                    # 查看所有用户cat /etc/shadow                    # 查看密码状态kysec-role                         # 查看当前角色lastlog                            # 查看最后登录# 网络与安全ss -tunlp# 查看监听端口ufw status numbered                # 查看防火墙规则aa-status                          # 查看AppArmor状态# 系统与日志uname-a# 内核版本cat /etc/kylin-release             # OS版本ausearch -ts today -k identity_changes  # 搜索今日审计日志kysec-verify --check-system        # 验证系统完整性# 可信计算fips-mode-setup --check# FIPS模式mokutil --sb-state                 # Secure Bootcat /sys/kernel/security/ima/ascii_runtime_measurements  # IMA度量# 备份与恢复kybackup --list# 查看备份列表kybackup --verify--name xxx       # 验证备份

参考标准：GB/T 22239-2019、GB/T 28448-2019、Kylin V10安全基线适用版本：Kylin Linux V10（基础版/SP1/SP2/SP3）验证环境：x86_64 / ARM64 / LoongArch 架构