主板是否暴露机箱入侵传感器取决于硬件支持：执行sudo dmidecode -t 38 | grep -i "intrusion"、ls /sys/class/hwmon//device/intrusion、sudo ipmitool sensor list | grep -i intrusion，任一有输出即说明已启用并暴露该信号。
怎么确认主板是否暴露机箱入侵传感器
Linux本身不提供统一接口读取“机箱盖开关”状态，是否能查，取决于硬件是否把该信号通过标准路径导出。最常见的是两种：SMBIOS（BIOS级）和 IPMI（BMC 级）。先验证底层支持，再谈读取。
执行以下命令，任一有输出即说明硬件已启用并暴露该信号：
-
sudo dmidecode -t 38 | grep -i "intrusion"—— 查 SMBIOS Type 38（System Enclosure or Chassis），看是否有Intrusion Status字段，值为Enabled或Detected -
ls /sys/class/hwmon/*/device/intrusion* 2>/dev/null—— 部分 Supermicro、ASUS 服务器会通过 hwmon 导出intrusion0_alarm文件，读值为1表示触发 -
sudo ipmitool sensor list | grep -i intrusion—— 若服务器带 BMC（如 iDRAC/iLO/IPMI），且已启用 Chassis Intrusion Sensor，此处应列出对应条目，Critical状态即表示已开盖
若三条都无输出，说明 BIOS 未启用该功能，或主板根本不支持，后续所有检测脚本都无效。
ipmitool 轮询检测时为什么总返回空或报错
不是所有服务器都默认开放 IPMI 访问，也不是所有 BMC 都把入侵事件映射到传感器。常见问题包括权限、网络配置和固件限制。
- 报
Unable to establish IPMI v2 / RMCP+ session：说明 BMC 未启用 IPMI over LAN，需进 iDRAC/iLO Web 界面开启 “Network Settings → IPMI Over LAN” 并分配用户权限 - 报
Get SEL Info command failed：SEL 日志可能被清空，或固件版本过旧（Dell 10.x 以下、HPE Gen9 以前常有此问题），升级 BMC 固件可解决 - 传感器存在但状态始终
OK：确认 BIOS 中 “Chassis Intrusion Detection” 已设为Enabled，且物理开关线缆已正确接到主板针脚（部分厂商默认不接） - 轮询延迟高（>5s）：用
ipmitool -I lanplus -H ... sel list | tail -n 20替代全量查询，只检查最近条目，降低开销
怎么用 shell 脚本实时响应机箱开启事件
不能靠 cron 每分钟拉一次——响应慢、漏检风险高。推荐用 ipmitool sel elist 增量轮询 + 时间戳比对，实现秒级响应。
关键逻辑是：记录上次检查的 SEL 最新时间戳，每次只查比它新的条目，匹配 Chassis Intrusion 和 Critical 即触发动作。示例核心片段：
last_ts=$(cat /var/run/intrusion-last-ts 2>/dev/null || echo "1970-01-01")
new_events=$(sudo ipmitool -I lanplus -H $BMC_IP -U $USER -P $PASS sel elist | \
awk -v ts="$last_ts" '$1" "$2 > ts && /Chassis.*Intrusion/ && /Critical/ {print; exit}')
if [ -n "$new_events" ]; then
echo "$(date '+%Y-%m-%d %H:%M:%S') INTRUSION DETECTED" >> /var/log/intrusion.log
# 执行锁定：如 sudo passwd -l $(getent passwd | awk -F: '$3>=1000&&$3 /var/run/intrusion-last-ts
fi
注意：sel elist 输出格式依赖固件，Dell 默认是 YYYY-MM-DD HH:MM:SS，HPE 是 MM/DD/YYYY HH:MM:SS，需按实际调整 awk 时间解析逻辑。
为什么检测到了却没锁住用户或卸载加密卷
响应脚本跑在普通用户上下文或未提权环境里，很多关键操作会被拒绝。最容易被忽略的是 SELinux 和 systemd 服务权限限制。
- 脚本用
sudo但未配置免密：必须在/etc/sudoers中明确授权，例如intrusion ALL=(ALL) NOPASSWD: /usr/bin/passwd, /usr/bin/umount, /usr/bin/systemctl stop - 脚本由 systemd timer 触发，但
RestrictAddressFamilies=AF_UNIX或NoNewPrivileges=yes导致无法调用sudo：检查systemctl cat your-timer.service，关闭这些限制项 - LUKS 卷未自动挂载或 keyscript 不可用：仅靠
umount /data不安全，应配合cryptsetup luksClose；但后者需 root 密钥环或 keyfile 在内存中，否则会卡住 - 误锁 root 或系统服务账户：
getent passwd过滤条件写成$3 >= 1000会漏掉某些发行版的普通用户（如 Ubuntu 的ubuntu用户 UID=1000），建议改用awk -F: '$1 !~ /^(root|sync|shutdown|halt|operator|games|ftp)$/ && $3 >= 1000'
物理入侵响应不是“检测即锁死”，而是“检测后按策略降级访问能力”。真正难的是让所有环节——从 BMC 固件、内核驱动、权限模型到加密密钥生命周期——形成闭环，中间任意一环松动，整个防护就形同虚设。
