物理隔离是通过物理手段断开不同安全等级网络的直接连接，彻底阻断在线攻击路径，核心原理为链路层断开、协议层剥离和交换可控性，适用于涉密内网等高安全场景。
实施系统底层配置权限的高强度管控、防范物理入侵篡改，关键在于“物理隔离 + 权限收敛 + 行为锁定 + 可信启动”四层联动。单纯加固软件配置无法抵御带U盘直连、拆机短接、固件刷写等物理层面攻击，必须从设备接触入口开始构建防线。
一、物理接触层：阻断未经授权的硬件访问
物理入侵的第一步是接触设备，因此首要任务是让攻击者“碰不到、打不开、插不进”。
- 服务器机柜加装带审计日志的电子门禁+机械锁双控，非授权开柜自动触发告警并录像
- 所有USB、PCIe、串口、JTAG调试接口在BIOS/UEFI中禁用；如需临时启用，须通过带审批流的堡垒机下发一次性解锁指令
- 主板CMOS电池仓、BIOS芯片、TPM模块加贴防拆封条，封条断裂即视为可信链中断，下次启动强制进入安全审计模式
- 关键服务器部署硬件级入侵检测模块（如Intel TXT或AMD SVM），实时监测机箱盖开关、温度异常、电压毛刺等物理扰动信号
二、固件与启动层：确保执行环境可信不可篡改
物理攻击常绕过操作系统，直接修改固件或引导程序。必须建立从加电到内核加载的完整信任链。
- 启用UEFI安全启动（Secure Boot），只允许签名合法的bootloader和内核模块加载；禁用CSM兼容模式
- 将GRUB2配置设为只读，并用TPM 2.0绑定启动参数（如kernel cmdline）——任何参数篡改都会导致PCR值不匹配，启动失败
- Linux系统启用IMA（Integrity Measurement Architecture），对关键配置文件（/etc/passwd、/etc/shadow、/etc/sudoers、/etc/pam.d/*）进行哈希度量并存入TPM PCR7
- 定期导出并离线比对TPM中的PCR值，发现偏差立即定位被篡改的组件（如被替换的initrd或内核模块）
三、系统权限层：收缩底层配置操作能力
即使物理接触发生，也要让攻击者无法持久化修改核心配置。目标是“能看不能改、能改不能留、能留不能逃”。
- 禁用所有root shell交互式登录，管理操作全部走sudo + RBAC策略，且每条sudo命令记录到远程SIEM（含命令行参数、TTY、进程树）
- /etc目录挂载为只读（ro），配置变更必须经由配置管理中心签发数字签名后，由systemd服务自动解密、校验、挂载临时可写层并应用
- 使用SELinux或AppArmor严格限制systemd、udev、cron等高权限服务的文件访问路径，禁止其写入/etc、/boot、/usr/lib/modules等敏感路径
- 对/etc/passwd、/etc/group等账号文件启用inotify监控+实时同步至只读NFS共享，本地文件一旦被篡改，10秒内自动回滚
四、审计与响应层：让每一次物理干预都“留痕、可溯、可反制”
物理攻击难以完全杜绝，但必须确保每次尝试都被捕获、记录、分析并触发防御动作。
- 部署独立于主系统的硬件日志采集器（如基于ARM Cortex-M的专用日志芯片），持续记录电源状态、RTC时间戳、TPM事件日志、串口控制台输出
- 所有BIOS/UEFI设置变更、固件更新操作，必须由两名管理员分别用YubiKey+PIN完成双因素授权，操作日志上链存证
- 当检测到物理入侵信号（如机箱开启、USB设备接入、BIOS重置），自动触发内存快照保存至加密SPI NOR Flash，并关闭非必要网络接口
- 定期开展“红队物理渗透演练”，模拟USB Drop、Cold Boot、DMA攻击等手法，验证上述控制措施的实际有效性
