工信部发布防范龙虾风险指南：六要与六不要

3月11日消息，针对“龙蜥”开源操作系统在典型应用场景下可能面临的安全风险，工业和信息化部网络安全威胁和漏洞信息共享平台联合相关单位，共同研讨并提出了“六要六不要”的安全防护建议。

（一）优先选用官方发布版本。

建议通过官方渠道下载最新稳定版本，并开启自动更新提醒功能。升级前请做好数据备份，升级后重启服务并验证补丁是否生效。

切勿使用第三方镜像版本或未经安全验证的历史版本。

（二）严格控制互联网暴露面。

应定期自查系统是否存在互联网暴露风险，一旦发现需立即下线整改。

避免将“龙蜥”智能体实例直接暴露于公网。如确需互联网访问，建议使用SSH等加密通道，并严格限制访问来源IP，同时采用强密码、证书或硬件密钥等认证方式。

（三）遵循最小权限原则。

应根据业务实际需要，授予完成任务所必需的最小权限。对删除文件、发送数据、修改系统配置等重要操作，需进行二次确认或人工审批。优先考虑在容器或虚拟机中隔离运行，形成独立的权限区域。

禁止在部署时直接使用管理员权限账户。

（四）审慎使用技能市场功能。

从官方技能市场下载“技能包”时需谨慎，安装前应仔细审查代码安全性。

警惕并要求执行“下载ZIP压缩包”、“运行Shell脚本”或“输入密码”等敏感操作的技能包，避免安装来源不明的扩展。

（五）防范社会工程学攻击及浏览器劫持。

建议使用浏览器沙箱、网页过滤器等扩展来阻止可疑脚本，同时启用日志审计功能。如遇可疑行为，应立即断开网络连接并重置密码。

不要浏览来源不明的网页、点击陌生的链接或打开不可信的文档。

（六）建立长效安全防护机制。

需定期检查并修补系统漏洞，及时关注官方安全公告及权威漏洞库的风险预警。党政机关、企事业单位和个人用户可结合网络安全防护工具与主流杀毒软件进行实时防护，及时处置可能存在的安全风险。

不应关闭详细的日志审计功能。