服务器机箱入侵告警依赖BMC/IPMI硬件固件上报，非软件检测；需先通过dmesg、ipmitool sensor、dmidecode验证硬件是否支持，三者无输出则功能不可用；确认存在后，周期采集传感器状态，触发日志记录、会话锁定、用户密码禁用等响应，并接入Zabbix/Prometheus监控体系。
服务器硬件健康检查中监控机箱入侵告警信号，本质不是“软件检测开盖”，而是读取硬件固件（BMC/IPMI）上报的物理安全事件。它依赖底层支持，不能靠Linux内核或普通工具主动感知——必须先确认设备是否真正提供该能力。
确认硬件是否暴露机箱入侵状态
多数消费级主板不支持，仅部分企业级服务器（如Dell PowerEdge、HPE ProLiant、Lenovo ThinkSystem）在BIOS/UEFI中提供“Chassis Intrusion Detection”选项，并通过BMC向IPMI接口暴露信号。
执行以下命令验证：
- dmesg | grep -i -E "(intrusion|chassis)"：查看内核启动日志中是否有相关关键词
- sudo ipmitool sensor | grep -i intrusion：若已配置IPMI且权限正常，可直接列出入侵传感器及其状态（如“OK”“Critical”）
- sudo dmidecode -t 38 2>/dev/null | grep -A5 "Chassis Intrusion"：检查SMBIOS类型38（系统机箱信息）是否包含入侵标志字段
三者均无输出，说明硬件未启用或未实现该功能，后续所有监控逻辑无法生效。
通过IPMI持续采集并解析入侵传感器
一旦确认存在入侵传感器（通常名称含“Intrusion”“Chassis”“Tamper”），就可将其纳入周期性采集流程：
- 使用ipmitool sensor定期拉取全部传感器数据，用grep过滤目标行，再用awk提取状态字段（如第4列）
- 状态值为“Critical”“Lower Critical”或“0x00”（不同厂商编码不同）时，代表检测到开启事件
- 建议每30–60秒轮询一次，避免漏报；同时记录时间戳和原始输出，便于审计回溯
联动响应：从告警到处置动作
采集到入侵信号后，需触发预设响应策略，而非仅发邮件或写日志：
- 立即记录事件到专用日志文件（如/var/log/chassis-intrusion.log），包含时间、主机名、传感器原始输出
- 调用systemctl lock-sessions或发送SIGSTOP给所有非root交互式TTY进程，暂停用户操作
- 执行passwd -l锁定所有普通用户密码（不影响SSH密钥登录），防止提权或横向移动
- 可选：触发ipmitool chassis power off强制断电（仅限无人值守且业务允许的场景）
集成进现有监控体系
将入侵状态作为一项指标接入Zabbix、Prometheus或Telegraf等平台：
- Zabbix中创建IPMI类型的监控项，键值设为sensor["Intrusion"]，设置触发器表达式{HOST:ipmi.sensor["Intrusion"].last()}=1（按实际返回值调整）
- Prometheus搭配ipmi_exporter，其默认暴露ipmi_sensor_state{type="Intrusion"}指标，值为0（OK）或1（Fault）
- 所有告警必须标注“物理安全事件”，并路由至值班人员手机+声光设备，不可仅发邮件
