Linux系统本身不直接感知机箱开启，需依赖BIOS/UEFI的Chassis Intrusion Detection功能，配合内核驱动（如ipmi_si、it87）和用户空间工具实现报警与锁死；硬件支持需在BIOS中启用对应选项，并通过/sys/class/hwmon/或ipmitool等读取状态；响应动作需自定义脚本或systemd服务实现，物理层加固同样关键。
Linux系统本身不直接感知机箱是否被打开，它依赖硬件提供的安全机制和内核接口。真正能实现“开箱报警+锁死”的，是主板BIOS/UEFI中的Chassis Intrusion Detection（机箱入侵检测）功能，配合Linux内核的ipmi_si或it87等驱动，以及用户空间工具链来完成响应动作。
确认硬件是否支持机箱入侵检测
不是所有主板都具备该功能。需先确认：
- 进入BIOS/UEFI设置界面（开机时按Del/F2/F10等），查找类似 Chassis Intrusion、Intrusion Detection、Case Open Warning 的选项，确保已启用；
- 部分服务器主板（如Supermicro、Dell iDRAC、HP iLO）通过IPMI提供更完整的入侵事件日志，可在BMC Web界面中查看“System Event Log”是否有 Chassis Intruded 条目；
- 消费级主板若带IT87系列环境控制器（如IT8728F、IT8620E），可通过
sudo modprobe it87加载驱动后，用sudo sensors-detect扫描，再运行sensors查看是否输出chassis intrusion状态。
在Linux中读取开箱状态
启用后，状态通常暴露在以下位置之一：
-
/sys/class/hwmon/hwmon*/device/intrusion0_alarm（值为1表示已触发）； -
/proc/sys/dev/ipmi/下通过ipmitool sensor list | grep -i intrusion获取（需ipmitool和ipmi_si模块）； - 某些平台通过
dmidecode -t chassis | grep -i "intrusion"可查BIOS是否声明支持，但不能实时读取状态。
配置自动报警与锁死响应
Linux无内置“锁死”机制，需自行定义动作。推荐使用systemd路径监控或轮询脚本：
- 编写守护脚本（如
/usr/local/bin/chassis-watch.sh），每5秒检查intrusion0_alarm文件内容，一旦读到1立即执行：
→ 记录日志：logger "CHASSIS INTRUSION DETECTED at $(date)"
→ 触发报警：播放声音、发送邮件、调用企业微信/钉钉机器人Webhook
→ 锁定系统：loginctl lock-session+systemctl isolate multi-user.target（退出图形界面）+echo 1 > /proc/sys/kernel/sysrq&&echo o > /proc/sysrq-trigger（强制关机，慎用） - 用
systemd.path监听文件变化更高效：创建/etc/systemd/system/chassis-intrusion.path，监控intrusion0_alarm路径，触发对应.service单元执行上述动作。
物理层加固建议
软件响应只是补救，真正防入侵要结合物理措施：
- 使用带报警锁扣的机箱（如部分塔式工作站机箱，开盖即触发声光报警器）；
- 部署粘合型电缆锁或带震动传感器的机柜锁，联动网络告警；
- 对关键服务器，启用BIOS密码+TPM 2.0 + Secure Boot，并禁用USB启动、Legacy Boot等潜在攻击入口。
