[發明專利]一種基于ESPI的增強服務器安全的方法及裝置

有效

• 申請號: 202011116526.8
• 申請日: 2020-10-19
• 公開（公告）號: CN112306795B
• 公開（公告）日: 2023-01-10
• 發明（設計）人: 崔亮
• 申請（專利權）人: 蘇州浪潮智能科技有限公司
• 主分類號: G06F11/30
• 分類號: G06F11/30;G06F11/32;G06F21/85
• 代理公司: 北京權智天下知識產權代理事務所(普通合伙) 11638
• 代理人: 王新愛

本發明公開了一種基于ESPI的增強服務器安全的方法，包括：S100，CPLD監控ESPI總線上的報文格式和指令；S200，若CPLD監控到異常的固件Flash讀寫操作，CPLD記錄相關操作記錄到CPLD掛載的Flash中；S300，CPLD判點亮系統錯誤或BMC錯誤信號線上的LED燈；S400，CPLD判斷是否接管CS0信號；S500，若接管CS0信號，CPLD會請求與PCH交互，警告系統出現安全問題。通過上述方式，本發明能夠BMC和PCH之間的ESPI增加監控，可以及時告警系統出現安全風險，并可以存儲日志，方便定位是BMC端還是系統出現問題，可有效解決ESPI總線帶來的安全風險問題。

技術領域

本發明涉及系統設計領域，特別是涉及一種基于ESPI的增強服務器安全方法及裝置。

背景技術

隨著Intel CPU不斷的迭代發展和推出，每一代CPU平臺對速率和性能的要求就越高。在Intel Purely平臺和Whitely平臺，PCH和BMC之間使用的都是LPC總線，但在剛推出不久的Eagle Stream平臺上LPC總線被ESPI總線所替代。

ESPI總線支持4種類型的channel通道，Peripheral channel外圍通道、VirtualWire channel虛擬有線通道、Out-of-band Message channel帶外信息通道和FlashAccess channel閃存接入通道。不同的channel使用不同的指令和報文格式區分，共用一條ESPI總線，其中Flash Access channel允許ESPI總線的主機和從機之間相互訪問對方的固件Flash。

ESPI總線支持的速率更高，而且相比于LPC還可以對系統固件進行讀寫，不需要額外的線路去讀寫，可以減少線路的復雜度。同時，也帶來新的風險，BMC端和系統端如果有一端出現安全問題，出現安全問題的一端都可以通過ESPI總線去篡改另一端的固件，從而帶來嚴重的服務器安全問題。

發明內容

本發明主要解決的技術問題是提供一種基于ESPI的增強服務器安全的方法及裝置，能夠在BMC和PCH之間的ESPI增加監控，可以及時告警系統出現安全風險，并可以存儲日志，方便定位是BMC端還是系統出現問題。

為解決上述技術問題，本發明采用的一個技術方案是：提供一種基于ESPI的增強服務器安全的方法，包括：

S100，可編程邏輯器件監控增強型串行外圍接口總線上的報文格式和指令，確定是否有異常的固件閃存讀寫操作；

S200，若可編程邏輯器件沒有監控到異常的固件閃存讀寫操作，則平臺控制中心和基板管理控制器通過增強型串行外圍接口總線進行通信，所述平臺控制中心產生第一片選信號與第二片選信號；若可編程邏輯器件監控到異常的固件閃存讀寫操作，則可編程邏輯器件記錄相關操作到可編程邏輯器件掛載的閃存存儲器中；

S300，可編程邏輯器件根據監控增強型串行外圍接口總線上的報文格式和指令判斷異常固件為系統固件閃存或基板管理控制器固件閃存，并驅動系統錯誤信號線或基板管理控制器錯誤信號線的LED燈；

S400，可編程邏輯器件根據設定的安全策略，評估當前系統風險，若當前系統存在風險，則接管第一片選信號；

S500，若接管第一片選信號，則警告系統出現安全問題；可編程邏輯器件通過I2C總線對基板管理控制器進行警告。

進一步，所述S100步驟中，所述第一片選信號為基板管理控制器中增強型串行外圍接口總線的片選信號，基板管理控制器根據所述第一片選信號決定是否忽略平臺控制中心發送的通信信息；所述第二片選信號為可編程邏輯器件中增強型串行外圍接口總線的片選信號，用于可編程邏輯器件與平臺控制中心交互。