3. Supermicro BIOS安全配置基线
Supermicro服务器的BIOS/UEFI固件是系统启动链的信任起点，也是攻击者植入持久化后门的高价值目标。如果BIOS层被篡改，即使操作系统重装、磁盘更换，恶意代码仍可存活。因此，BIOS安全配置基线不是可选项，而是服务器交付前必须完成的硬性关卡。本节围绕安全启动、密码体系、TPM、固件写保护、USB端口控制与启动顺序锁定六个维度，给出可落地的配置方法与判断依据。
一、安全启动（Secure Boot）
Secure Boot通过验证启动链中每个组件的数字签名，阻止未签名或签名无效的引导加载程序运行。在Supermicro主板的UEFI设置中，路径通常为 Advanced → Boot Feature → Secure Boot。配置时需先将 Secure Boot Mode 从 Standard 切换为 Custom，以便管理密钥数据库。
关键操作是密钥管理：PK（Platform Key）用于建立平台与固件之间的信任关系，KEK（Key Exchange Key）用于授权签名数据库更新，db 存放允许的签名证书，dbx 存放吊销的证书。生产环境中建议使用企业自有的PKI体系生成密钥，而非依赖出厂默认密钥。配置完成后，将 Secure Boot 设为 Enabled，并确认 Setup Mode 变为 User Mode，这表示密钥已固化、平台进入强制验证状态。
验证方法：在操作系统内执行 mokutil --sb-state（Linux）或 Confirm-SecureBootUEFI（Windows PowerShell），应返回 SecureBoot enabled。若返回 disabled 或 Setup Mode，说明密钥未正确写入或模式未切换。
二、管理员密码与开机密码
Supermicro BIOS提供两级密码：Administrator Password 控制进入BIOS设置界面的权限，User Password（开机密码）控制系统启动权限。两者职责不同，不可混用。
配置路径为 Security → Administrator Password 和 Security → User Password。管理员密码应设置为强密码（建议16位以上，含大小写、数字、符号），并妥善保管于密码管理系统中。开机密码用于阻止未授权人员启动服务器，但需注意：它不加密磁盘数据，攻击者拆下硬盘挂载到其他机器仍可读取。因此开机密码应与磁盘加密（如LUKS、BitLocker）配合使用。
一个常见误区是只设管理员密码而不设开机密码，导致物理接触者可直接引导至外部介质。基线要求两者均启用，且 Password Check 设为 Always，确保每次启动都验证。
三、TPM配置
TPM（可信平台模块）为系统提供硬件级密钥存储和度量功能。Supermicro主板通常支持TPM 2.0，需在BIOS中确认 Advanced → Trusted Computing → Security Device Support 设为 Enabled，且 TPM State 为 Enabled。
TPM的核心用途是绑定磁盘加密密钥和存储启动度量值。以BitLocker为例，启用TPM后，密钥被封装在TPM中，只有启动链完整性未被破坏时才能解封。若引导文件被篡改，TPM会拒绝释放密钥，系统进入恢复模式。配置时需注意：Pending TPM Operation 应设为 None，避免误触发清除操作；TPM2.0 UEFI Spec Version 建议设为 TCG_2 以兼容现代操作系统。
验证方法：Linux下执行 cat /sys/class/tpm/tpm0/tpm_version_major 应返回 2；Windows下运行 tpm.msc，确认状态为“TPM已就绪，可供使用”。
四、固件写保护
固件写保护防止运行时对BIOS/UEFI固件的非法刷写。Supermicro主板提供 BIOS Write Protect 选项，通常位于 Security 或 Advanced → South Bridge 下。启用后，SPI闪存区域被锁定，任何试图通过软件方式修改固件的操作都会被拒绝。
需注意，写保护启用后，正常的BIOS升级需先临时关闭该选项，升级完成后再重新启用。基线要求生产环境始终开启写保护，仅在计划内维护窗口临时关闭。此外，应启用 BIOS Guard（若平台支持），它进一步限制SMM（系统管理模式）对固件的访问。
五、USB端口控制与启动顺序锁定
USB端口是数据泄露和恶意引导的常见通道。Supermicro BIOS提供 Advanced → USB Configuration，可分别控制 USB Mass Storage、USB Keyboard/Mouse 等设备类别。基线建议：禁用 USB Mass Storage 支持，仅保留键盘鼠标；若业务确需USB存储，应通过 Port 60/64 Emulation 和端口级禁用策略精细控制。
启动顺序锁定是防止攻击者从外部介质引导的关键。在 Boot 菜单中，将 Boot Mode 设为 UEFI（禁用Legacy），Boot Option #1 固定为系统盘，并删除或禁用 Network Boot、USB Boot 等非必要项。同时启用 Boot Order Lock（若可用），防止运行时修改。
六、配置基线与验证闭环
将上述六项整合为可执行的基线检查表，便于交付前逐项确认。以下为示例配置参数，实际值需根据业务需求调整。
| 配置项 | BIOS路径 | 基线值 | 验证命令/方法 |
|---|---|---|---|
| Secure Boot | Advanced → Boot Feature | Enabled, User Mode | mokutil --sb-state |
| 管理员密码 | Security → Administrator Password | 已设置，16位强密码 | 重启进入BIOS需验证 |
| 开机密码 | Security → User Password | 已设置，Password Check=Always | 重启需输入密码 |
| TPM | Advanced → Trusted Computing | Enabled, TCG_2 | tpm.msc / sysfs |
| 固件写保护 | Security → BIOS Write Protect | Enabled | 刷写工具返回拒绝 |
| USB Mass Storage | Advanced → USB Configuration | Disabled | 插入U盘无盘符 |
| 启动顺序 | Boot → Boot Option #1 | 系统盘，UEFI Only | 重启直接进入OS |
完成配置后，建议执行一次完整的冷启动验证：断电重启，确认开机密码生效、系统从固定磁盘引导、Secure Boot处于User Mode、TPM状态正常。任何一项不符合基线，都应记录并修复后再交付。BIOS安全基线不是一次性任务，固件升级、硬件更换或密钥轮换后，都需重新核对上述项目。