固件为什么必须单列管理
固件漏洞无法被操作系统补丁覆盖：管理控制器（BMC）的远程接管类漏洞、UEFI 固件与网卡固件的问题，都只能靠厂商固件更新来修复，而这类版本号往往没人登记。可行的方法是三步：把固件版本纳入资产清单、按季度巡检厂商安全公告、在维护窗口内安排更新并记录变更前后版本。
基本信息
| 加固项 | 固件安全 |
|---|---|
| 适用平台 | 服务器、网络设备、终端 |
| 涉及对象 | BIOS/UEFI、BMC、网卡与存储控制器固件 |
| 盘点手段 | fwupdmgr、dmidecode、系统信息查询 |
| 更新窗口 | 多数需要重启，按维护窗口安排 |
| 风险等级 | 中 |
典型使用场景
- 服务器巡检：登记 BIOS 与管理控制器版本
- 公告响应：厂商发布固件安全公告后评估影响范围
- 新设备验收：把固件版本写进验收清单
- 隔离网环境：用离线包更新并保留更新前后的版本记录
- 资产盘点：补齐长期缺失的固件字段
固件版本盘点
固件版本盘点
# Linux：查看可更新固件与设备版本
fwupdmgr get-devices 2>/dev/null | head -20
fwupdmgr get-updates 2>/dev/null | head -20
dmidecode -t bios 2>/dev/null | head -10
# Windows：查询 BIOS 与机型信息
# Get-CimInstance Win32_BIOS | Select-Object Manufacturer, SMBIOSBIOSVersion, ReleaseDate
# Get-CimInstance Win32_ComputerSystem | Select-Object Manufacturer, Model各类固件的更新特点
| 固件对象 | 常见风险 | 更新特点 |
|---|---|---|
| BIOS/UEFI | 启动链被篡改或固件漏洞 | 需要重启，影响开机过程 |
| BMC 管理控制器 | 管理口被远程接管 | 通常需重启管理控制器，本机业务可不受影响 |
| 网卡与存储控制器 | 兼容性与稳定性问题 | 更新可能影响链路，需安排窗口 |
| 磁盘固件 | 数据可靠性与性能问题 | 按厂商指引操作，谨慎评估风险 |
管理控制器固件更新通常需要重启该控制器，安排在维护窗口并准备好带外回滚方案。
资产管理表要增加固件列，管理控制器的版本最容易长期无人登记。
固件更新失败可能导致设备无法开机，执行前务必确认电源冗余与回滚手段。