CN116467705B - 一种服务器防入侵全时监控系统和服务器 - Google Patents

Abstract

本发明公开了一种服务器防入侵全时监控系统和服务器，包括：入侵行为检测单元，用于全时检测并记录入侵服务器的入侵行为；基板管理控制器，与入侵行为检测单元连接；基板管理控制器用于在插电后获取入侵行为检测单元记录的入侵行为，并判断入侵行为是否为非正常入侵行为，以及将判断结果反馈给入侵行为检测单元；入侵行为检测单元还与服务器的中央处理器连接，入侵行为检测单元还用于在确认发生非正常入侵后，向中央处理器发送非正常入侵信号，以控制阻止服务器开机运行。实现了对服务器的防入侵全时监控，以及在未插电阶段和插电未开机阶段被非正常入侵后阻止服务器正常开机运行业务，提高了服务器防入侵侦测的安全性及可靠性。

Description

一种服务器防入侵全时监控系统和服务器

技术领域

本发明实施例涉及服务器安全技术领域，尤其涉及一种服务器防入侵全时监控系统和服务器。

背景技术

随着用户对服务器的安全性能、可维护性和可追溯性需求的提高，用户对服务器机箱开关的监控要求越来越高。

目前，服务器机箱盖的开关报警大都依赖于BMC (Base board ManagementController，基板管理控制器)来进行检测、记录和告警，防止误操作和恶意操作，便于追溯。但是，在实际应用中，机箱开盖维护多数是断电操作的，此时BMC已经停止工作，因此无法继续检测入侵行为；并且服务器在未插电阶段（AC OFF）和插电未开机阶段（S5）被非法入侵后无法阻止服务器正常开机运行业务，存在数据中心发生数据泄露或者中木马病毒等风险。

发明内容

本发明实施例提供了一种服务器防入侵全时监控系统和服务器，以实现对服务器的防入侵全时监控，以及在未插电阶段和插电未开机阶段被入侵后阻止服务器正常开机运行业务，提高了服务器防入侵侦测的安全性及可靠性。

根据本发明的一方面，提供了一种服务器防入侵全时监控系统，包括：

入侵行为检测单元，用于全时检测并记录入侵服务器的入侵行为；其中全时包括服务器的非插电阶段、插电未开机阶段以及开机运行阶段；

基板管理控制器，与所述入侵行为检测单元连接；所述基板管理控制器用于在插电后获取所述入侵行为检测单元记录的入侵行为，并判断所述入侵行为是否为非正常入侵行为，以及将判断结果反馈给所述入侵行为检测单元；

其中，所述入侵行为检测单元还与所述服务器的中央处理器连接，所述入侵行为检测单元还用于在确认发生非正常入侵后，向所述中央处理器发送非正常入侵信号，以控制阻止所述服务器开机运行。

本发明实施例提供的技术方案，通过具有单独供电模块的入侵行为检测单元，能够实现全时检测并记录入侵服务器的入侵行为；在服务器插电后，基板管理控制器将会扫描入侵行为检测单元的内部寄存器，获取入侵行为信息，并判断是否存在非正常入侵行为；在确认非正常入侵后，入侵行为检测单元向服务器的中央处理器发送非正常入侵信号，以控制阻止服务器开机运行，从而可以避免出现数据中心发生数据泄露或者中木马病毒等风险。

可选的，所述服务器防入侵全时监控系统还包括：可信密码模块和逻辑与门单元；

所述逻辑与门单元的第一信号输入端与所述入侵行为检测单元连接，所述逻辑与门单元的第二信号输入端与所述可信密码模块连接；所述逻辑与门单元的信号输出端与所述中央处理器连接；

所述逻辑与门单元用于在接收到所述入侵行为检测单元发送的非正常入侵信号，和/或接收到所述可信密码模块发送的输入输出系统非安全可信信号时，向所述中央处理器和/或服务器上电时序管理模块发送禁止初始化信号，以控制阻止所述中央处理器上电初始化以及启动。

本发明实施例提供的技术方案，将可信密码模块输出的代表是否正常运行硬件初始化的信号，与入侵行为检测单元发送的代表是否存在非正常入侵的信号通过逻辑与门单元进行逻辑判断；当可信密码模块输出的是正常运行硬件初始化的信号，并且入侵行为检测单元输出的是正常入侵信号或未发生入侵的信号时，逻辑与门单元向中央处理器和/或服务器上电时序管理模块输出允许初始化的使能信号，才能控制服务器正常开机运行，从而可以进一步的避免出现数据中心发生数据泄露或者中木马病毒等风险。

可选的，所述基板管理控制器包括管理网口，所述管理网口用于通过带外网络通信连接所述基板管理控制器与远程控制系统；所述基板管理控制器还用于通过带外网络向所述远程控制系统上传入侵行为信息；以及用于根据所述远程控制系统基于所述入侵行为信息反馈的指令，保存或清除所述入侵行为检测单元中记录的入侵行为；

和/或，所述基板管理控制器还与所述中央处理器连接，所述中央处理器用于通过带内网络通信连接所述基板管理控制器与远程服务端；所述基板管理控制器还用于通过带内网络向所述远程服务端上传所述入侵行为信息；以及用于根据所述远程服务端基于所述入侵行为信息反馈的指令，保存或清除所述入侵行为检测单元中记录的入侵行为。

本发明实施例提供的技术方案，通过基板管理控制器与远程控制系统连接，从而可以实现入侵行为检测单元与远程控制系统进行通信；通过基板管理控制器与所述中处理器的带内连接，从可以实现入侵行为检测单元与远程服务端进行通信；AC ON时，基板管理控制器运行后将会扫描入侵行为检测单元的内部寄存器，读取完入侵行为检测单元内部寄存器后上报远程控制系统、远程服务端，从而实现远程告警；根据远程控制系统、远程服务端的指示保存或清除该寄存器信息，从而可以保证寄存器记录入侵行为的内存。

可选的，所述服务器防入侵全时监控系统，还包括：

可信执行环境模块，所述可信执行环境模块用于在开机运行阶段向所述服务器提供可信执行环境；

所述基板管理控制器还用于在所述开机运行阶段，根据实时获取的所述服务器的系统内部件信息进行哈希值计算，以及还用于将所述哈希值分别发送给所述远程服务端系统、所述远程服务端和所述入侵行为检测单元进行比较后，根据比较结果控制所述可信执行环境模块的工作状态；

其中，所述远程服务端系统、所述远程服务端和所述入侵行为检测单元中均存储有哈希比较值；当所述哈希值与所述哈希比较值相同时，所述可信执行环境模块持续向所述服务器提供可信执行环境；当所述哈希值与所述哈希比较值不同时，所述可信执行环境模块停止向所述服务器提供可信执行环境。

本发明实施例提供的技术方案，通过在基板管理控制器中设置哈希值计算模块，可以在服务器正常运行数据中心业务时，实时获取服务器系统内部件信息进行哈希值计算，以确认服务器系统内部件的安全性；当服务器系统内部件存在安全性问题时，服务器退出可信执行环境并暂停数据中心业务，从而可以保证了服务器可以在安全的状态下运行。

可选的，所述可信执行环境模块与所述中央处理器连接，和/或集成在所述中央处理器的内部；

所述中央处理器还用于在接收到所述基板管理控制器发送的哈希值与哈希比较值不同的比较结果时，控制所述可信执行环境模块停止向所述服务器提供可信执行环境；

以及还用于在接收到所述基板管理控制器发送的非正常入侵信号时，控制所述可信执行环境模块停止向所述服务器提供可信执行环境；

以及还用于在接收到所述基板管理控制器发送的哈希比较值更新完成信号时，控制所述可信执行环境模块继续向所述服务器提供可信执行环境。

本发明实施例提供的技术方案，通过基板管理控制器检测入侵行为，若检测到非法入侵行为，则控制服务器系统退出可信执行环境；若检测到合法入侵行为，则更新远程服务端系统、远程服务端以及入侵行为检测单元中存储的哈希比较值，继续维持可信执行环境，并继续数据中心业务；从而可以保证了服务器可以在安全的状态下运行的同时，避免正常拆卸等入侵行为对服务器运行的影响。

可选的，所述可信执行环境模块还与所述入侵行为检测单元通信连接；所述可信执行环境模块还用于定时向所述入侵行为检测单元发起随机数挑战，以判断所述入侵行为检测单元是否正常工作。

本发明实施例提供的技术方案，通过设置可信执行环境模块定时向所述入侵行为检测单元发起随机数挑战，可以在入侵行为检测单元逻辑芯片的内部固件被非法入侵修改或者固件出现运行错误时，确认出防入侵检测系统失效的情况，进而可以保证入侵行为检测单元的检测准确性。

可选的，所述入侵行为检测单元包括：

多个入侵行为检测传感器，所述入侵行为检测传感器设置在所述服务器内外的待检测部位；所述入侵行为检测传感器用于检测对所述服务器不同部位的入侵行为；

逻辑芯片，所述逻辑芯片与所述入侵行为检测传感器连接以及所述基板管理控制器连接；所述逻辑芯片用于记录所述入侵行为检测传感器检测到的入侵行为，以及将所述入侵行为发送至所述基板管理控制器；

备用电池组，所述备用电池组用于在所述非插电阶段向所述逻辑芯片供电，以及在插电阶段通过来自所述服务器的主板电源进行充电。

本发明实施例提供的技术方案，通过低功耗的逻辑芯片和充电电池供电系统，在服务器断电时不间断监控服务器机箱状态，解决了当前存在的服务器断电时无法监控机箱状态；实现7*24小时不间断监控机箱状态，增加了服务器管理的安全性和可靠性。

可选的，所述入侵行为检测单元还包括：

升降压电路、电源多路复用器和低压差线性稳压器；

所述升降压电路的输入端与所述备用电池组连接，所述升降压电路的输出端与所述电源多路复用器的第一输入端连接；所述低压差线性稳压器的输入端与所述服务器的主板电源连接，所述低压差线性稳压器的输出端与所述电源多路复用器的第二输入端连接；所述电源多路复用器的输出端与所述逻辑芯片连接。

本发明实施例提供的技术方案，通过升降压电路可以将备用电池组的输出电压转化为逻辑芯片适配的工作电压；通过低压差线性稳压器可将主板电源稳压后提供给逻辑芯片；通过多路复用器可以避免AC OFF和AC ON状态切换时，逻辑芯片的供电电源产生电压压降，进而导致逻辑芯片工作失灵。

可选的，所述入侵行为检测传感器包括微动开关，所述待检测部位包括服务器的机箱盖和硬盘驱动器的防拆板；

所述防入侵全时监控系统还包括：锁头，所述锁头用于固定所述硬盘驱动器的防拆板，以防止设置在所述硬盘驱动器的防拆板处的入侵行为检测传感器检测到误入侵行为。

本发明实施例提供的技术方案，所述待检测部位包括服务器的机箱盖和硬盘驱动器的防拆板，可以实现对机箱盖的拆卸和硬盘驱动器的拔插进行监控；并且通过在硬盘驱动器的防拆板处设置锁头机械锁付，当打开锁头时才能进行拆卸，从而可以防止设置在硬盘驱动器的防拆板处的入侵行为检测传感器检测到误入侵行为。

根据本发明的另一方面，提供了一种服务器，包括本发明任一实施例所述的服务器防入侵全时监控系统，具有相同的技术效果。

应当理解，本部分所描述的内容并非旨在标识本发明的实施例的关键或重要特征，也不用于限制本发明的范围。本发明的其它特征将通过以下的说明书而变得容易理解。

附图说明

为了更清楚地说明本发明实施例中的技术方案，下面将对实施例描述中所需要使用的附图作简单地介绍，显而易见地，下面描述中的附图仅仅是本发明的一些实施例，对于本领域普通技术人员来讲，在不付出创造性劳动的前提下，还可以根据这些附图获得其他的附图。

图1是本发明实施例提供的一种服务器防入侵全时监控系统的结构框图；

图2是本发明实施例提供的一种入侵行为检测单元的结构框图；

图3是本发明实施例提供的一种机箱拆卸检测电路的电路图；

图4是本发明实施例提供的另一种服务器防入侵全时监控系统的结构框图；

图5是本发明实施例提供的一种服务器的开机启动方法的流程图；

图6 是本发明实施例提供的一种服务器在可信执行环境下的运行方法的流程图。

具体实施方式

为了使本技术领域的人员更好地理解本发明方案，下面将结合本发明实施例中的附图，对本发明实施例中的技术方案进行清楚、完整地描述，显然，所描述的实施例仅仅是本发明一部分的实施例，而不是全部的实施例。基于本发明中的实施例，本领域普通技术人员在没有做出创造性劳动前提下所获得的所有其他实施例，都应当属于本发明保护的范围。

需要说明的是，本发明的说明书和权利要求书及上述附图中的术语“第一”、“第二”等是用于区别类似的对象，而不必用于描述特定的顺序或先后次序。应该理解这样使用的数据在适当情况下可以互换，以便这里描述的本发明的实施例能够以除了在这里图示或描述的那些以外的顺序实施。此外，术语“包括”和“具有”以及他们的任何变形，意图在于覆盖不排他的包含，例如，包含了一系列步骤或单元的过程、方法、系统、产品或设备不必限于清楚地列出的那些步骤或单元，而是可包括没有清楚地列出的或对于这些过程、方法、产品或设备固有的其它步骤或单元。

本发明实施例提供了一种服务器防入侵全时监控系统，图1是本发明实施例提供的一种服务器防入侵全时监控系统的结构框图，参考图1，服务器防入侵全时监控系统包括：

入侵行为检测单元100，用于全时检测并记录入侵服务器的入侵行为；其中全时包括服务器的非插电阶段、插电未开机阶段以及开机运行阶段；

基板管理控制器200，与入侵行为检测单元100连接；基板管理控制器200用于在插电后获取入侵行为检测单元100记录的入侵行为，并判断入侵行为是否为非正常入侵行为后，将判断结果反馈给入侵行为检测单元100；

其中，入侵行为检测单元100还与服务器的中央处理器300（Central ProcessingUnit，CPU）连接，入侵行为检测单元100还用于在确认发生非正常入侵后，向中央处理器300发送非正常入侵信号，以阻止服务器开机运行。

具体的，防入侵全时监控系统设置于服务器中，使得服务器具有防入侵全时监控功能。防入侵全时监控系统包括服务器中的基板管理控制器200和增设在服务器中的入侵行为检测单元100。入侵行为检测单元100可以配置有适配的备用电池组，能够实现在非插电阶段（AC OFF）检测并记录入侵服务器的入侵行为。在插电阶段（AC ON），可以切换为由服务器的主板电源为入侵行为检测单元100的检测提供电压。其中，插电阶段包括插电未开机阶段（S5）以及开机运行阶段。记录的入侵行为信息可以包括入侵时间、入侵部件和入侵次数等信息，便于追溯。在服务器断电时不间断监控服务器状态，解决了当前存在的服务器断电时无法监控服务器机箱入侵状态；实现7*24小时不间断监控机箱状态，增加了服务器管理的安全性和可靠性。

另外，基板管理控制器200与入侵行为检测单元100可以通过I2C总线连接，服务器插电后，基板管理控制器200即可上电运行，能够获取入侵行为检测单元100记录的入侵行为。基板管理控制器200中存储有根据实际运维需要提前预设的运维信息；运维信息具体可以包括运维的部件、运维时间和运维次数等信息。例如拆卸服务器机箱或更换硬件驱动器等系统内部件的时间和次数。基板管理控制器200从入侵行为检测单元100中获取到记录的入侵行为信息后，可以根据提前存储的运维信息，判断入侵行为是否为提前报备的运维行为。若入侵行为中具有不是提前报备的运维行为，则可以确定在未插电阶段和/或插电未开机阶段具有非正常入侵行为（恶意操作）；若全部的入侵行为均是提前报备的运维行为，则可以确定在未插电阶段和/或插电未开机阶段不具有非正常入侵行为（正常操作）。

基板管理控制器200在判断入侵行为是否为非正常入侵行为后，将判断结果反馈给入侵行为检测单元100。入侵行为检测单元100还与服务器的中央处理器300连接，入侵行为检测单元100还用于在确认发生非正常入侵后，向中央处理器300发送非正常入侵信号，控制阻止服务器开机运行，从而可以避免出现数据中心发生数据泄露或者中木马病毒等风险。可选的，入侵行为检测单元100还可以在确认发生非正常入侵后，向中央处理器300的上电时序管理模块发送非正常入侵信号，以阻止上电时序管理模块向中央处理器300的上电，进而控制阻止服务器开机运行。

本发明实施例提供的服务器防入侵全时监控系统，通过具有单独供电模块的入侵行为检测单元，能够实现全时检测并记录入侵服务器的入侵行为；在AC ON和AC OFF时均能精准记录被入侵的时间、次数和入侵行为，根据以上信息可以精准定位入侵时间、入侵行为时长等信息评估服务器系统被非法入侵的严重程度，极大保障了服务器系统及其所含数据的可靠性、安全性。在服务器插电后，基板管理控制器将会扫描入侵行为检测单元的内部寄存器，获取记录的入侵行为，并判断是否存在非正常入侵行为；在确认非正常入侵后，入侵行为检测单元根据反馈的结果向服务器的中央处理器发送非正常入侵信号，以控制阻止服务器开机运行，从而可以避免出现数据中心发生数据泄露或者中木马病毒等风险。

图2是本发明实施例提供的一种入侵行为检测单元的结构框图，参考图2，在本发明的一个实施例中，可选的，入侵行为检测单元包括：

多个入侵行为检测传感器，入侵行为检测传感器设置在服务器内外的待检测部位；入侵行为检测传感器用于检测对服务器的入侵行为；

逻辑芯片10，逻辑芯片10与入侵行为检测传感器连接以及基板管理控制器200连接；逻辑芯片10用于记录入侵行为检测传感器检测到的入侵行为，以及将入侵行为发送至基板管理控制器200；

备用电池组20(Battery Backup Unit，BBU)，备用电池组用于在非插电阶段向逻辑芯片10供电，以及在插电阶段通过来自服务器的主板电源进行充电。

具体的，入侵行为检测传感器的个数以及检测服务器的部位可以根据实际需要设置。例如可以在服务器的机箱盖处设置一个或多个入侵行为检测传感器，可以用来检测服务器机箱的拆卸情况；例如还可以在服务器内硬盘驱动器的防拆板处，可以用来检测硬盘驱动器的拔插情况。逻辑芯片10与每一入侵行为检测传感器通过串行转并行模块连接，入侵行为检测传感器包括但不限于微动开关传感器，通过微动开关传感器的开闭检测待检测部位是否发生入侵行为。图2中示例性的画出在机箱处设置了机箱入侵检测微动开关S1，以及在硬盘驱动器（Hard Disk Drive，HDD）处设置了HDD入侵检测微动开关S2。

以待检测部位为服务器的机箱盖为例进行说明入侵行为检测过程。图3是本发明实施例提供的一种机箱拆卸检测电路的电路图，参考图3，第一电阻R1和第二电阻R2的第一端均输入电压U，第一电阻R1的第二端与晶体管Q的栅极G、入侵检测接口J1的第一引脚a以及电容C的第一端连接；第二电阻R2的第二端与晶体管Q的漏极D连接。晶体管Q的源极S、电容C的第二端以及入侵检测接口J1的第一引脚b均接地。

服务器的机箱盖盖好时，微动开关中的微动弹片是被压缩的状态，等效于入侵检测接口J1的第一引脚a和第二引脚b是短路状况，此时GPIO(CHASSIS_INTRUSION_N)输出高电平，GPIO=H，说明机箱是正常关闭的。服务器的机箱盖被移除时，微动弹片被弹起，等效于入侵检测接口J1的第一引脚a和第二引脚b开路，此时GPIO(CHASSIS_INTRUSION_N)输出低电平，GPIO=L，说明服务器的机箱盖被拆卸。当GPIO状态由高电平变为低电平时，逻辑芯片10会抓取入侵行为，并记录告警信息，基板管理控制器200通过I2C查询告警信息，然后通过计算机的显示模块显示服务器的机箱盖的开盖次数、开盖时间等信息。

由逻辑芯片10、备用电池组20以及其外围电路构成的入侵检测电路集成在一张控制电路板上，形成入侵检测小卡。入侵检测小卡的智能平台管理总线（IntelligentPlatform Management Bus，IPMB）接口与服务器主板的IPMB接口互联。IPMB接口具有的作用包括：给入侵检测小卡提供来自服务器主板的供电电源；连接服务器主板I2C和/或其他支持的通信协议总线与入侵检测小卡中逻辑芯片10的I2C和/或其他通信协议总线。入侵行为检测单元还包括：升降压电路30、电源多路复用器50和低压差线性稳压器40(LowDropout Regulator，LDO)；升降压电路30的输入端与备用电池组20连接，升降压电路30的输出端与电源多路复用器50的第一输入端连接；低压差线性稳压器40的输入端输入服务器的主板电源，低压差线性稳压器40的输出端与电源多路复用器50的第二输入端连接；电源多路复用器50的输出端与逻辑芯片10连接。其中逻辑芯片10可以为微控制单元（MicroControl Unit，MCU）、复杂可编程逻辑器（Complex Programmable Logic Device，CPLD）、现场可编程逻辑门阵列（Field Programmable Gate Array，FPGA）或其它逻辑芯片。

在未插电阶段（AC OFF）时，入侵检测小卡供电由备用电池组20通过升降压电路30供电，升降压电路30将备用电池组20输出的电源稳压在MCU/CPLD/FPGA/其他逻辑芯片10接受的供电电源电压内。在插电阶段（AC ON）时，入侵检测小卡供电由IPMB接口通过低压差线性稳压器40降压在MCU/CPLD/FPGA/其他逻辑芯片10接受的供电电源电压内，并且备用电池组20此时通过来自主板的IPMB电源进行充电至充满。供电电源均连接至电源多路复用器后提供给MCU/CPLD/FPGA/其他逻辑芯片10，电源多路复用器50的作用是避免未插电阶段（ACOFF）和插电阶段（AC ON）状态切换时，MCU/CPLD/FPGA/其他逻辑芯片10的供电电源产生电压压降，进而避免由于电压压降造成逻辑芯片10工作失灵。

本发明实施例提供的技术方案，通过低功耗的逻辑芯片和充电电池供电系统，在服务器断电时不间断监控服务器机箱状态，解决了当前存在的服务器断电时无法监控机箱状态；实现7*24小时不间断监控机箱状态，增加了服务器管理的安全性和可靠性。

可选的，通过在硬盘驱动器的防拆板处设置锁头机械锁付，当打开锁头时才能进行拆卸，从而可以防止设置在硬盘驱动器的防拆板处的入侵行为检测传感器检测到误入侵行为。

图4是本发明实施例提供的另一种服务器防入侵全时监控系统的结构框图，参考图4，在本发明的一个实施例中，可选的，服务器防入侵全时监控系统还包括：逻辑与门单元400，以及可信密码模块500（Trusted Cryptography Module，TCM）、可信平台模块（TrustedPlatform Module，TPM）和可信平台控制模块（Trusted Platform Control Module，TPCM）中的至少一种。

逻辑与门单元400的第一信号输入端与入侵行为检测单元100连接，逻辑与门单元400的第二信号输入端与可信密码模块500（以可信密码模块500为例）连接；逻辑与门单元400的信号输出端与服务器1的中央处理器300连接；

逻辑与门单元400用于在接收到入侵行为检测单元100发送的非正常入侵信号，和/或接收到可信密码模块500发送的输入输出系统非安全可信信号时，向中央处理器300发送禁止初始化信号，以控制阻止中央处理器300初始化以及启动。

具体的，逻辑与门单元400的第一信号输入端与入侵行为检测单元100中的逻辑芯片10连接，将可信密码模块500输出的代表是否正常运行硬件初始化的信号，与入侵行为检测单元100发送的代表是否存在非正常入侵的信号通过逻辑与门单元400进行逻辑判断；当可信密码模块500输出的是正常运行硬件初始化的信号，并且入侵行为检测单元100输出的是正常入侵信号或未发生入侵的信号时，逻辑与门单元400向中央处理器300输出允许初始化的使能信号，才能控制服务器11正常开机运行，从而可以进一步的避免出现数据中心发生数据泄露或者中木马病毒等风险。当可信密码模块500还可以与基板管理控制器200连接，用于向基板管理控制器200输出正常运行基板管理控制器初始化信号TCM_BMC_OK。

示例性的，当逻辑芯片10输出的代表是被非法入侵的信号，可信密码模块500输出的是正常运行硬件初始化信号TCM_BIOS_OK；通过逻辑与门单元400判断后，逻辑与门单元400输出的BIOS_OK信号为低电平，不允许中央处理器300的基本输入输出系统（BasicInput Output System BIOS）固件（FirmWare，FW）初始化。当逻辑芯片10输出的是正常入侵的信号，可信密码模块500输出的是正常运行硬件初始化信号TCM_BIOS_OK；通过逻辑与门单元400判断后，逻辑与门单元400输出的BIOS_OK信号为高电平，允许中央处理器300的BIOS FW初始化。其中，可信密码模块500与存储有BIOS的存储器BIOS ROM连接，用于判断BIOS FW是否可初始化，以及与BMC ROM连接，用于判断BMC是否可初始化。

可选的，逻辑与门单元400的信号输出端还可以与服务器上电时序管理模块连接，逻辑与门单元400用于在接收到入侵行为检测单元100发送的非正常入侵信号，和/或接收到可信密码模块500（以可信密码模块500为例）发送的输入输出系统非安全可信信号时，向服务器的上电时序管理模块发送禁止初始化信号，以控制阻止上电时序管理模块向中央处理器300上电，进而禁止中央处理器300初始化以及启动。

参考图4，在本发明的一个实施例中，可选的，基板管理控制器200包括管理网口，管理网口用于通过带外网络，通信连接基板管理控制器200与远程控制系统201（Remotecontrol）；基板管理控制器200还用于通过带外网络向远程控制系统201上传入侵行为信息；以及用于根据远程控制系统201基于入侵行为信息反馈的指令，保存或清除入侵行为检测单元100中记录的入侵行为；

和/或，基板管理控制器200还与中央处理器300连接，中央处理器300用于通过带内网络，通信连接基板管理控制器200与远程服务端301（Remote server）；基板管理控制器200还用于通过带内网络向远程服务端301上传入侵行为信息；以及用于根据远程服务端基于入侵行为信息反馈的指令，保存或清除入侵行为检测单元100中记录的入侵行为。

具体的，基板管理控制器200可以具有管理网口。基板管理控制器200可以与带外网络进行通信。例如，基板管理控制器200可以向带外网络提供服务器1内部的信息，或者可以将带外网络的信息存储至服务器1内等。入侵行为检测单元100中的逻辑芯片10与基板管理控制器200连接，通过基板管理控制器200，从而可以实现入侵行为检测单元100与远程控制系统201进行通信。服务器1还可以包括数据网口，中央处理器300通过数据网口可以与带内网络进行通信。通过基板管理控制器200与中央处理器300的网络透传连接，透传方式包括但不限定于Https、Redfish，从可以实现入侵行为检测单元100与远程服务端301进行通信。AC ON时，基板管理控制器200运行后将会扫描逻辑芯片10的内部寄存器，读取完逻辑芯片10内部寄存器后上报远程控制系统201、远程服务端301，从而实现远程告警；根据远程控制系统201、远程服务端301的指示保存或清除该寄存器信息，从而可以保证寄存器记录入侵行为的内存。

在上述实施例的基础上，请继续参考图4，服务器防入侵全时监控系统还包括可信执行环境模块600（Trusted execution environment，TEE），可信执行环境模块600用于在开机运行阶段向服务器1提供可信执行环境。可信执行环境模块600与中央处理器300连接，和/或集成在中央处理器300的内部。图5是本发明实施例提供的一种服务器的开机启动方法的流程图，服务器的开机启动方法由服务器防入侵全时监控系统执行，参考图5，当服务器1在数据中心联网启动时，发生如下步骤进行验证信息；

S110、判断是否为第一依次联网开机，若是则执行步骤S160，若不是则执行步骤S120。

S120、判断是否存在入侵行为，若存在则执行步骤S130，若不存在则执行步骤S140。

S130、判断入侵行为是否为非正常入侵行为，若是则执行步骤S140，若不是则执行步骤S150。

S140、阻止服务器开机。

S150、控制服务器开机，并执行步骤S160。

S160、读取上报配置。

S170、设备信息注册。

S180、注册信息存储。

S190、可信执行环境模块向服务器提供可信执行环境。

请继续参考图4，可选的，基板管理控制器200还用于在开机运行阶段，根据实时获取的服务器1的系统内部件信息进行哈希值计算，以及将哈希值分别发送给远程服务端301系统、远程服务端和入侵行为检测单元100进行比较后，根据比较结果控制可信执行环境模块600的工作状态；

其中，远程服务端301系统、远程服务端和入侵行为检测单元100中均存储有哈希比较值；当哈希值与哈希比较值相同时，可信执行环境模块600持续向服务器1提供可信执行环境；当哈希值与哈希比较值不同时，可信执行环境模块600停止向服务器1提供可信执行环境。

具体的，服务器1系统正常运行数据中心业务时，基板管理控制器200通过I2C或者IPMITOOL等工具实时获取服务器1系统内部件信息（包括但不限定于硬盘、图形处理器(Graphics Processing Unit，GPU)、CPU、DCU、网卡、内存条的型号、SN、FW版本等信息），进行哈希加密计算。根据实时获取的服务器1的系统内部件信息进行哈希值计算后，基板管理控制器200将哈希值分别发送给远程控制系统201、远程服务端301以及MCU/CPLD/FPGA/其他逻辑芯片10的哈希值进行哈希值比较，当四者的哈希值一致时，服务器1保持TEE，运行数据中心业务；当四者哈希值不一致时，服务器1退出TEE，暂停运行数据中心业务。本发明实施例提供的技术方案，通过在基板管理控制器200中设置哈希值计算模块，可以在服务器1正常运行数据中心业务时，实时获取服务器1系统内部件信息进行哈希值计算，以确认服务器1系统内部件的安全性；当服务器1系统内部件存在安全性问题时，服务器1退出可信执行环境并暂停数据中心业务，从而可以保证了服务器1可以在安全的状态下运行。

请继续参考图4，可信执行环境模块600与中央处理器300连接，和/或集成在中央处理器300的内部；

中央处理器300还用于在接收到基板管理控制器200发送的哈希值与哈希比较值不同的比较结果时，控制可信执行环境模块600停止向服务器1提供可信执行环境；

以及还用于在接收到基板管理控制器200发送的非正常入侵信号时，控制可信执行环境模块600停止向服务器1提供可信执行环境；

以及还用于在接收到基板管理控制器200发送的哈希比较值更新完成信号时，控制可信执行环境模块600继续向服务器1提供可信执行环境。

具体的，中央处理器300内部的TEE（可信执行环境）和带有TEE功能的PCIE卡为带有防入侵全时监控系统的服务器1的必要部件（至少选配一个）。在上述实施例的基础上，本发明实施例提供的技术方案，通过基板管理控制器200检测入侵行为，若检测到非法入侵行为，则控制服务器1退出可信执行环境；若检测到合法入侵行为，则更新远程控制系统201、远程服务端301以及入侵行为检测单元100中存储的哈希比较值，继续维持可信执行环境，并继续数据中心业务；从而可以保证了服务器1可以在安全的状态下运行的同时，避免正常拆卸等入侵行为对服务器1运行的影响。

在上述实施例的基础上，图6 是本发明实施例提供的一种服务器在可信执行环境下运行方法的流程图，参考图6，服务器1在可信执行环境下的运行方法包括：

S210、服务器开机运行。

S220、服务器在可信执行环境中正常运行数据中心业务。

S230、基板管理控制器根据当前获取的服务器的系统内部件信息进行哈希值计算。

S240、基板管理控制器将哈希值分别发送给远程控制系统、远程服务端和入侵行为检测单元进行比较。

S250、基板管理控制器判断比较结果是否为计算的哈希值与存储在远程控制系统、远程服务端和入侵行为检测单元中的哈希比较值均相同；若均相同，则返回执行步骤S220；若否则执行步骤S290。

S260、服务器在可信执行环境中正常运行数据中心业务的同时，入侵行为检测单元进行入侵行为检测。

S270、基板管理控制器判断入侵行为是否为非正常入侵行为；若是则执行步骤S290，若否则执行步骤S280。

S280、基板管理控制器将更新后的哈希比较值上传至远程控制系统、远程服务端和入侵行为检测单元进行哈希比较值更新，并返回执行步骤时S220。

S290、服务器退出可信执行环境，并暂停数据中心业务。

请继续参考图4，在本发明的一个实施例中，可选的，可信执行环境模块600还与入侵行为检测单元100通信连接；可信执行环境模块600还用于定时向入侵行为检测单元100发起随机数挑战，以判断入侵行为检测单元100是否正常工作。

具体的，为防止逻辑芯片10内部固件被非法入侵修改或者固件出现运行错误的情况，从而使防入侵检测系统失效，可信执行环境模块600通过带内外连接会定时向逻辑芯片10发起随机数挑战，逻辑芯片10在规定时间内通过特定加密算法算出结果并发送给可信执行环境模块600。若符合预期结果，可信执行环境模块600则向逻辑芯片10发送数据签名，标记防拆卸系统运行有效，服务器1维持TEE。否则TEE标记危险，服务器1系统退TEE。每次逻辑芯片10内部固件合法升级时，均会改变加密算法，并且通知带内外系统做更新加密算法。

本发明实施例还提供了一种服务器，包括上述任一实施例所述的服务器防入侵全时监控系统，具有相同的技术效果，这里不再赘述。

注意，上述仅为本发明的较佳实施例及所运用技术原理。本领域技术人员会理解，本发明不限于这里所述的特定实施例，对本领域技术人员来说能够进行各种明显的变化、重新调整和替代而不会脱离本发明的保护范围。因此，虽然通过以上实施例对本发明进行了较为详细的说明，但是本发明不仅仅限于以上实施例，在不脱离本发明构思的情况下，还可以包括更多其他等效实施例，而本发明的范围由所附的权利要求范围决定。

Claims (9)

1.一种服务器防入侵全时监控系统，其特征在于，包括：

入侵行为检测单元，用于全时检测并记录入侵服务器的入侵行为；其中全时包括服务器的非插电阶段、插电未开机阶段以及开机运行阶段；

基板管理控制器，与所述入侵行为检测单元连接；所述基板管理控制器用于在插电后获取所述入侵行为检测单元记录的入侵行为，并判断所述入侵行为是否为非正常入侵行为后，将判断结果反馈给所述入侵行为检测单元；

其中，所述入侵行为检测单元还与所述服务器的中央处理器连接，所述入侵行为检测单元还用于在确认发生非正常入侵后，向所述中央处理器发送非正常入侵信号，以阻止所述服务器开机运行；

所述基板管理控制器包括管理网口，所述管理网口用于通过带外网络，通信连接所述基板管理控制器与远程控制系统；所述基板管理控制器还与所述中央处理器连接，所述中央处理器用于通过带内网络，通信连接所述基板管理控制器与远程服务端；

服务器防入侵全时监控系统还包括：

可信执行环境模块，所述可信执行环境模块用于在所述开机运行阶段向所述服务器提供可信执行环境；

所述基板管理控制器还用于在所述开机运行阶段，根据实时获取的所述服务器的系统内部件信息进行哈希值计算，以及将所述哈希值分别发送给所述远程控制系统、所述远程服务端和所述入侵行为检测单元进行比较后，根据比较结果控制所述可信执行环境模块的工作状态；

其中，所述远程控制系统、所述远程服务端和所述入侵行为检测单元中均存储有哈希比较值；当所述哈希值与所述哈希比较值相同时，所述可信执行环境模块持续向所述服务器提供可信执行环境；当所述哈希值与所述哈希比较值不同时，所述可信执行环境模块停止向所述服务器提供可信执行环境。

2.根据权利要求1所述的服务器防入侵全时监控系统，其特征在于，还包括：可信密码模块和逻辑与门单元；

所述逻辑与门单元的第一信号输入端与所述入侵行为检测单元连接，所述逻辑与门单元的第二信号输入端与所述可信密码模块连接；所述逻辑与门单元的信号输出端与所述中央处理器连接；

所述逻辑与门单元用于在接收到所述入侵行为检测单元发送的非正常入侵信号，和/或接收到所述可信密码模块发送的输入输出系统非安全可信信号时，向所述中央处理器和/或服务器上电时序管理模块发送禁止初始化信号，以控制阻止所述中央处理器上电初始化以及启动。

3.根据权利要求1所述的服务器防入侵全时监控系统，其特征在于，

所述基板管理控制器还用于通过所述带外网络向所述远程控制系统上传入侵行为信息；以及用于根据所述远程控制系统基于所述入侵行为信息反馈的指令，保存或清除所述入侵行为检测单元中记录的入侵行为；

和/或，所述基板管理控制器还用于通过带内网络向所述远程服务端上传所述入侵行为信息；以及用于根据所述远程服务端基于所述入侵行为信息反馈的指令，保存或清除所述入侵行为检测单元中记录的入侵行为。

4.根据权利要求1所述的服务器防入侵全时监控系统，其特征在于，所述可信执行环境模块与所述中央处理器连接，和/或集成在所述中央处理器的内部；

所述中央处理器还用于在接收到所述基板管理控制器发送的哈希值与哈希比较值不同的比较结果时，控制所述可信执行环境模块停止向所述服务器提供可信执行环境；

以及还用于在接收到所述基板管理控制器发送的非正常入侵信号时，控制所述可信执行环境模块停止向所述服务器提供可信执行环境；

以及还用于在接收到所述基板管理控制器发送的哈希比较值更新完成信号时，控制所述可信执行环境模块继续向所述服务器提供可信执行环境。

5.根据权利要求4所述的服务器防入侵全时监控系统，其特征在于，

所述可信执行环境模块还与所述入侵行为检测单元通信连接；所述可信执行环境模块还用于定时向所述入侵行为检测单元发起随机数挑战，以判断所述入侵行为检测单元是否正常工作。

6.根据权利要求1所述的服务器防入侵全时监控系统，其特征在于，所述入侵行为检测单元包括：

多个入侵行为检测传感器，所述入侵行为检测传感器设置在所述服务器内外的待检测部位；所述入侵行为检测传感器用于检测对所述服务器的入侵行为；

逻辑芯片，所述逻辑芯片与所述入侵行为检测传感器连接以及所述基板管理控制器连接；所述逻辑芯片用于记录所述入侵行为检测传感器检测到的入侵行为，以及将所述入侵行为发送至所述基板管理控制器；

备用电池组，所述备用电池组用于在所述非插电阶段向所述逻辑芯片供电，以及在插电阶段通过来自所述服务器的主板电源进行充电。

7.根据权利要求6所述的服务器防入侵全时监控系统，其特征在于，所述入侵行为检测单元还包括：

升降压电路、电源多路复用器和低压差线性稳压器；

所述升降压电路的输入端与所述备用电池组连接，所述升降压电路的输出端与所述电源多路复用器的第一输入端连接；所述低压差线性稳压器的输入端与所述服务器的主板电源连接，所述低压差线性稳压器的输出端与所述电源多路复用器的第二输入端连接；所述电源多路复用器的输出端与所述逻辑芯片连接。

8.根据权利要求6所述的服务器防入侵全时监控系统，其特征在于，所述入侵行为检测传感器包括微动开关传感器，所述待检测部位包括服务器的机箱盖和硬盘驱动器的防拆板；

所述防入侵全时监控系统还包括：锁头，所述锁头用于固定所述硬盘驱动器的防拆板，以防止设置在所述硬盘驱动器的防拆板处的入侵行为检测传感器检测到误入侵行为。

9.一种服务器，其特征在于，包括权利要求1~8任一所述的服务器防入侵全时监控系统。