Secure Boot 是什么
Secure Boot 是 UEFI 固件的一项能力：开机时用固件里预置的密钥库逐级校验引导链签名，从引导器到内核与关键驱动，任何一环签名不合法就拒绝加载。它主要防的是 bootkit 与 rootkit 这类在操作系统起来之前就落地的恶意代码，属于「可信验证」在服务器侧的常见落点。
基本信息
| 适用平台 | Windows（UEFI 固件机型）；Linux 服务器对应 mokutil 等工具 |
|---|---|
| 前提条件 | 固件为 UEFI 模式且已开启，磁盘为 GPT 分区 |
| 核查命令 | Confirm-SecureBootUEFI（PowerShell，需管理员） |
| 基线 | 输出 True |
典型使用场景
- 合规检查项核对：等保与 CIS 都要求开启引导完整性校验
- 新采购服务器上架验收：确认出厂固件设置符合基线，而不是沿用厂商默认
- 安全事件后排查：怀疑存在引导层恶意代码时，确认 Secure Boot 状态与引导器路径
- 镜像模板制作：统一在模板阶段开启，避免逐台补配
核查
核查
# True=已启用；抛异常=非 UEFI 或固件不支持（脚本要 try/catch）
Confirm-SecureBootUEFI
# 查看引导器路径：UEFI 下应为 winload.efi，Legacy 下是 winload.exe
bcdedit /enum '{current}' | findstr /i path
# 交叉核对固件模式与启动方式信息
msinfo32 /report C:\temp\msinfo.txt; Select-String -Path C:\temp\msinfo.txt -Pattern 'Secure Boot|BIOS Mode'状态逐项读法
| 检查点 | 正常表现 | 异常表现 |
|---|---|---|
| Confirm-SecureBootUEFI | 返回 True | 返回 False 表示固件支持但未开启；报错表示处于 Legacy 模式 |
| 引导器路径 | winload.efi | winload.exe 说明仍是 BIOS 引导，Secure Boot 不可能生效 |
| 固件模式 | UEFI | 显示 Legacy 或 BIOS，需评估改造代价再决定是否切换 |
| 固件管理员口令 | 已设置 | 未设口令时任何本地人都能进固件改启动项，Secure Boot 形同虚设 |
Legacy BIOS 机型无法直接启用 Secure Boot；切到 UEFI 模式涉及分区表与引导配置改造，先做兼容性评估与完整备份，并确认有带外控制台可用。
启用前要确认全部引导期驱动已签名（尤其是无盘方案与磁盘加密产品），否则可能出现直接无法开机的情况；变更安排在维护窗口并准备回退步骤。