核心是切断非授权修改路径并保留必要运维能力，通过bios/uefi权限分离、硬件抽象层访问控制、带外管理审计及物理与固件双因子绑定实现分权、留痕、可逆。
直接从硬件配置接口入手管控，核心是切断非授权修改路径，同时保留必要运维能力。重点不在“堵死”，而在“分权+留痕+可逆”。
BIOS/UEFI固件级权限分离
不依赖操作系统，从启动源头控制：
- 启用管理员密码（Supervisor Password），禁用用户密码（User Password），防止普通用户进入设置界面
- 关闭“Fast Boot”和“CSM”兼容模式，强制启用UEFI安全启动（Secure Boot），只允许签名驱动加载
- 将USB Controller、SATA Controller等关键外设控制器设为“Enabled but locked”，部分主板支持在保存后锁定配置项，无法被系统内工具重写
- 导出当前BIOS配置为.cfg文件存档，每次变更前比对哈希值，确保配置未被静默篡改
硬件抽象层接口访问控制
限制操作系统对底层配置寄存器的读写能力：
- 在Windows中禁用ACPI SMM通信端口：通过组策略或注册表禁用HKLM\SYSTEM\CurrentControlSet\Control\WMI\Autologger\SysEvents相关日志采集，减少SMM漏洞利用面
- 禁用PCIe配置空间暴露：在设备管理器中右键“计算机”→“属性”→“高级系统设置”→“硬件”→“设备安装设置”，勾选“否，让我选择要执行的操作”，并取消“自动下载驱动程序更新”
- Linux环境下使用iommu=force内核参数启用IOMMU，隔离DMA访问，防止恶意设备绕过CPU直接读写内存配置区
带外管理通道独立审计
把配置管理行为本身纳入监管，而非仅管配置结果：
- 启用IPMI/iDRAC/iLO等带外管理接口，并单独划分管理VLAN，所有BIOS设置变更必须通过该通道发起，操作日志自动同步至SIEM平台
- 配置IPMI用户权限等级：仅授予“Administrator”角色修改固件设置权限，其余角色仅限“ReadOnly”或“NoAccess”
- 定期调用ipmitool mc info与ipmitool fru print比对硬件指纹，发现主板序列号、BMC版本、固件校验码异常即触发告警
物理与固件双因子绑定
让配置修改动作具备不可抵赖性：
- 启用TPM 2.0并开启Platform Configuration Registers（PCRs），关键配置变更会触发PCR扩展，任何未授权刷写都会导致PCR值失配，启动时直接阻断
- 对服务器主板启用“Boot Guard”或“Intel Boot Protection”，要求每次固件更新必须由私钥签名，密钥离线保管于HSM模块中
- 在机箱加装带传感器的物理封条，一旦拆机触发事件记录并上报至带外管理平台，与BIOS时间戳交叉验证
