监控系统底层输入设备是防范物理后门的关键防线，需通过模块黑名单、udev设备指纹白名单、hid.blacklist内核参数实现可识别可验证；结合evtest/ebpf实时分析输入事件熵值与模式异常；并以uefi secure boot、雷电接口禁用及专用输入代理服务加固固件信任链。
监控系统底层输入设备是防范物理后门的重要防线。很多硬件级后门（如恶意USB键盘、伪造HID设备、带固件漏洞的KVM切换器）会伪装成标准输入设备，通过注入按键序列、模拟鼠标点击或劫持事件流来执行提权、凭证窃取或远程控制。防御的关键不是禁用所有外设，而是建立“可识别、可验证、可拦截”的输入设备行为基线。
识别并限制非可信HID设备接入
Linux内核通过hid-core和usbhid模块管理输入设备，所有新接入的HID设备都会在/sys/bus/hid/devices/和/dev/input/下生成对应节点。应主动管控设备发现环节：
- 禁用自动加载危险模块：在/etc/modprobe.d/blacklist.conf中加入blacklist usbmouse、blacklist usbkbd、blacklist hid-generic，改用显式白名单驱动
- 通过udev规则强制校验设备指纹：编写/etc/udev/rules.d/99-input-whitelist.rules，只允许已知VID:PID和物理端口路径的设备生成/dev/input/event*节点，例如：SUBSYSTEM=="input", ATTRS{idVendor}=="046d", ATTRS{idProduct}=="c52b", SYMLINK+="input/trusted-keyboard"
- 启用内核参数hid.blacklist=1，配合自定义hid-quirks表屏蔽已知高风险设备型号（如某些被曝存在固件后门的商用键鼠）
实时监控输入事件流异常行为
正常用户操作具有节奏性、组合逻辑和上下文连续性；而后门注入往往表现为高频单键循环、无休眠长按、跨应用快速切换或非人操作序列（如连续Alt+Tab+R+Enter+cmd）。可通过以下方式捕获异常：
- 使用evtest或libevdev轮询/dev/input/event*设备，提取keycode、timestamp、syn-dropped标志，构建每秒按键熵值与事件密度模型
- 部署eBPF程序（如基于tracepoint:input/input_event）在内核态截获原始事件，在用户态前完成速率限制与模式过滤，避免用户空间工具被绕过
- 对X11/Wayland会话层日志（如journalctl -u gdm | grep "device added"）做关联分析，发现“设备热插拔后立即触发sudo命令”等可疑链路
阻断非法输入路径与加固固件信任链
部分高级物理后门（如BadUSB变种、Thunderclap攻击载体）不依赖操作系统驱动，直接通过USB协议栈或PCIe总线篡改输入流。此时需从硬件信任根出发：
- 启用并验证UEFI Secure Boot，确保usbcore.ko等关键模块签名有效，防止恶意内核模块替换hid解析逻辑
- 对支持USB Type-C Alt Mode的设备，禁用未签名的DisplayPort/Thunderbolt外设枚举（通过内核参数thunderbolt.nhi=0或BIOS中关闭雷电接口）
- 在关键设施中部署专用输入代理服务（如基于libinput的中间守护进程），所有/dev/input/event*读取必须经其鉴权与重放检测，拒绝无合法会话上下文的输入事件
