底盘入侵检测是服务器物理安全第一道防线，由主板电路与BIOS/UEFI协同实现，机箱非法开启时触发记录并联动防护；需手动启用、验证状态、留存日志、对接BMC告警，并与TPM PCR7及Secure Boot联动阻断启动。
底盘入侵检测（Chassis Intrusion）是服务器物理安全的第一道防线，它不依赖操作系统，而是由主板上的专用电路与BIOS/UEFI固件协同实现——当机箱被非法打开时，传感器触发信号，BIOS/UEFI记录事件并可联动执行防护动作。这不是“防黑”，而是防“手”，专治盗拆、硬件替换、恶意固件植入等物理层威胁。
启用并验证底盘入侵检测状态
该功能默认常处于关闭或未配置状态，需人工开启并确认生效：
- 开机进入BIOS/UEFI设置界面（鲲鹏920按Delete/F2；Dell按F2；HPE按F9）
- 定位到 Security → Chassis Intrusion 或 Main → Physical Security 类似路径
- 将选项设为 Enabled，并确认 Log Event 和 Alert on Boot 已勾选
- 保存退出后，重启并进入系统，用命令验证是否被识别：
- Linux：
sudo dmidecode -t chassis | grep -i "intrusion"，应返回Intrusion Sensor: Enabled及最近状态 - Windows：
wmic systemenclosure get securitystatus，返回值3表示“已检测到入侵”（需先触发测试），2表示“正常”
- Linux：
确保日志留存与告警闭环
底盘开关仅是开关，真正起效靠的是日志链与响应策略：
- BIOS/UEFI必须将事件写入非易失性存储（如NVRAM或SPI Flash中的特定区域），否则断电即丢
- 企业级服务器需通过BMC/IPMI同步上报：使用
ipmitool sensor list | grep -i chassis查看传感器状态，确认Chassis Intru条目为ok或nr（非恢复态） - 若支持，配置BMC邮件/短信告警，在检测到开盖时自动通知管理员（部分华为、浪潮机型支持）
- 禁用“清除日志后自动重置状态”选项，防止攻击者开盖—清除日志—关盖一气呵成
与固件安全机制联动，阻断后续操作
单有告警不够，需让底盘入侵成为可信启动链的否决项：
- 在Secure Boot启用前提下，将底盘状态作为TPM PCR[7]（Platform Configuration Register）的输入源之一
- 配合UEFI变量
SetupMode=0和SecureBoot=1，设置启动策略：若PCR[7]异常（如曾触发入侵），则拒绝加载OS引导器，直接停在UEFI Shell或报错界面 - 部分OEM（如Dell iDRAC、HPE iLO）提供“Chassis Intrusion Lockdown”高级选项：一旦触发，自动禁用USB端口、禁用PCIe热插拔、锁定BMC远程控制接口，从硬件层面冻结系统
日常运维中容易忽略的关键点
底盘检测不是一劳永逸的开关，失效往往静默发生：
- 传感器物理松动或氧化：每年检查机箱侧板微动开关是否卡滞，用万用表测通断（常闭型，开盖应断路）
- BIOS版本过旧：早期固件可能仅记录事件但不阻止启动，升级至厂商最新版（如华为2026年Q3发布的BIOS 2.38+已支持PCR联动）
- 虚拟化环境盲区：KVM直通或SR-IOV场景下，若底盘事件未透传至宿主机dmesg或libvirt日志，需在Host侧部署eBPF探针监听
/sys/firmware/acpi/events/下相关事件节点
底盘入侵检测本身不加密、不认证，但它把“谁动了我的服务器”这个最原始的问题，锚定在了硬件启动最早期的环节。它不能替代固件签名或SMBIOS校验，但能让所有绕过软件层的物理篡改行为，从第一秒就暴露在监控之下。
