如何通过对系统关键配置进行不可变权限锁定以防止非法篡改执行指南

直接锁定关键配置文件的不可变属性是最底层防篡改手段，需优先锁定/etc/passwd、/etc/shadow、/etc/group、/etc/sudoers、/etc/fstab、/etc/crypttab、/boot/grub2/grub.cfg等静态核心文件，避开动态文件，并严格遵循备份→验证→锁定三步法及配套监控与变更流程。

直接锁定关键配置文件的不可变属性，是防篡改最底层、最有效的手段之一。它不依赖用户权限判断，而是由文件系统内核强制拦截所有写操作——哪怕 root 用户也无法覆盖、删除或重命名加了 +i 属性的文件。但这不是“一锁了事”，必须配合备份、验证、受控变更与监控，才能真正落地生效。

哪些文件该加不可变属性？只锁真正静态的核心项

加 +i 不是越多越好，锁错反而导致系统无法启动或服务异常。优先锁定以下极少变动、系统强依赖的静态配置：

• /etc/passwd、/etc/shadow、/etc/group：用户身份基础，但需确认 PAM 和用户管理流程已适配
• /etc/sudoers：必须用 visudo 编辑，并先运行 visudo -c 验证语法，否则加锁后无法更新
• /etc/fstab、/etc/crypttab：挂载失败将直接导致系统无法启动
• /boot/grub2/grub.cfg：防止引导配置被覆盖，但内核升级时需临时解锁并重生成
• 自定义只读服务配置，如 /etc/nginx/nginx.conf（确认不启用热重载）

明确避开这些动态文件：/etc/resolv.conf（NetworkManager 会写）、/etc/hostname（云平台自动更新）、/var/log/*（日志轮转必写）、/proc 或 /sys 下的虚拟文件——它们加 +i 会导致功能中断或命令报错。

正确加锁三步法：备份→验证→锁定

顺序不可颠倒，跳过任一环节都可能引发故障：

• 先备份原文件，例如：cp /etc/sudoers /etc/sudoers.bak
• 用合规方式编辑并测试：运行 visudo -c 确保语法无误；对 /etc/fstab 执行 mount -a 测试挂载逻辑是否通
• 执行锁定：chattr +i /etc/sudoers；再用 lsattr /etc/sudoers 确认输出含 i 标志（如 ----i---------e---）
• 随后做一次破坏性验证：echo test >> /etc/sudoers，应返回 Operation not permitted

生产环境必须配套的防护动作

加锁只是起点，日常运维必须建立闭环机制：

• 所有变更走“临时解锁→编辑→立即重锁”流程，建议封装为脚本，例如：

#!/bin/bash
chattr -i /etc/sudoers
visudo
chattr +i /etc/sudoers
logger "sudoers updated by $(whoami)"

• 在麒麟等信创系统中，叠加 KYSEC 内核级保护：kysecctl --set config-immutable=on，再 systemctl restart kysec 持久生效
• 启用审计监控：auditctl -w /etc/sudoers -p wa -k sudoers_protect，配合 ausearch -k sudoers_protect 追踪访问行为

Windows 系统的等效防护策略

Windows 无 chattr，但可通过组合方式实现类似效果：

• 对 %SystemRoot%System32driversetchosts、C:WindowsSystem32GroupPolicy 等路径，右键→“属性”→“安全”→编辑权限，移除非管理员用户的“写入”和“修改”权限
• 启用 EFS 加密敏感配置文件，确保即使磁盘被挂载也无法未授权读取
• 用 icacls 固化权限，例如：icacls C:WindowsSystem32driversetchosts /inheritance:r /grant:r "SYSTEM:(RX)""Administrators:(RX)"
• 配合组策略禁用“绕过遍历检查”权限，防止低权限进程利用符号链接逃逸