如何利用CPUInfo进行安全审计

在安全审计中，CPU信息是底层硬件可信的基石。很多安全事件都始于对硬件属性的忽视，而/proc/cpuinfo和lscpu这一类工具，恰恰能帮我们从最底层摸清机器的真实面貌。下面就来拆解如何通过它们做一次系统化的CPU安全审计。

一、审计目标与总体思路

审计的核心目标其实就两件事：确认资产清单与合规基线一致，以及识别未授权变更与可疑特征。具体来说，就是核对CPU的型号、微架构、核心/线程数量、缓存层级，还有虚拟化与加密指令集是否都在预期之内。

在工具选型上，/proc/cpuinfo与lscpu是主力，但绝不能只依赖单一来源。结合dmidecode、cpuid、inxi等工具做交叉验证，能有效降低信息被伪造或误判的风险。毕竟，攻击者也可能修改/proc下的虚拟文件——交叉验证才是硬道理。

二、采集与取证要点

采集命令与关键字段

• 基础信息：cat /proc/cpuinfo —— 重点关注 processor、model name、cpu cores、siblings、cache size、flags。
• 结构化汇总：lscpu —— 关注 Architecture、CPU(s)、Thread(s) per core、Core(s) per socket、Socket(s)、NUMA node(s)、Model name、Virtualization、L1/L2/L3 缓存。
• 固件/插槽层：sudo dmidecode -t processor —— 关注 Version、Max Speed、Current Speed、Core Enabled、Thread Count、Status。
• 指令集与品牌：cpuid | grep -i brand，必要时用cpuid查看扩展特性。
• 综合信息：inxi -C/-Fx —— 适合直接生成审计报告。

取证建议

取证时务必记录时间戳、主机名、MAC/序列号、内核版本和命令输出，并保存为只读副本（比如用sha256做校验）。更关键的是，在变更窗口前后各采集一次，这样对比差异才能一眼看出问题。

三、基线核对清单

以上所有字段都能从/proc/cpuinfo、lscpu、dmidecode、cpuid中获取，完全可以用来构建合规基线并进行差异比对。

四、风险判定与处置

未授权变更

• 现象：型号/步进/微码版本/插槽数/核心数较基线变化；lscpu与dmidecode不一致。
• 处置：冻结变更，复核工单与固件更新记录，回滚可疑固件/微码，同时核查供应链与访问控制。

虚拟化被禁用或异常启用

• 现象：flags缺失vmx/svm，或lscpu Virtualization显示None，与业务需求不符。
• 处置：核查BIOS/UEFI策略、启动参数以及云安全组/策略模板，恢复合规配置并留痕。

可疑指令集缺失

• 现象：合规要求具备的aes、sha-ni、rdrand等缺失（在支持的型号上）。
• 处置：排查微码/BIOS设置、可疑内核模块或虚拟化层拦截，必要时更换硬件或调整合规范围。

异常拓扑与核心数

• 现象：核心/线程数、NUMA节点与物理机规格不符（例如虚拟机被过度或不足分配）。
• 处置：与云平台/虚拟化平台核对配额与策略，修正资源配置，并完善监控告警。

频率与步进异常

• 现象：cpu MHz长期异常低或高，stepping与型号不匹配。
• 处置：检查电源/散热策略、降频/加速策略与微码版本，排除硬件故障或被篡改的可能。

五、自动化脚本与报告模板

快速采集脚本（bash）

保存为cpu_audit.sh，用法：bash cpu_audit.sh > cpu_audit_$(date +%F_%T).log。脚本汇总关键字段并自动计算逻辑/物理核心数，便于留痕与比对。

#!/usr/bin/env bash
echo “=== lscpu ===”; lscpu
echo “=== /proc/cpuinfo (model,flags) ===”; grep -E ‘^(model name|flags)’ /proc/cpuinfo | sort -u
echo “=== CPU 核心/线程统计 ===”
echo "Logical CPUs: $(grep -c ^processor /proc/cpuinfo)"
echo "Physical cores per socket: $(lscpu | awk -F: ‘/^Core(s) per socket/ {gsub(/ /,“”,$2); print $2}’)"
echo "Sockets: $(lscpu | awk -F: ‘/^Socket(s)/ {gsub(/ /,“”,$2); print $2}’)"
echo “=== dmidecode -t processor ===”; sudo dmidecode -t processor 2>/dev/null
echo “=== cpuid brand string ===”; cpuid | grep -i brand | head -n1

报告字段建议

• 基本信息：采集时间、主机名、内核版本、架构
• 关键指标：model name、stepping、cpu MHz、cache size、flags（aes/sha-ni/rdrand/vmx/svm 等）
• 拓扑指标：CPU(s)、Core(s) per socket、Thread(s) per core、Socket(s)、NUMA node(s)
• 固件/插槽：dmidecode的Version、Max/Current Speed、Core Enabled、Thread Count、Status
• 合规结论：与基线的差异、风险等级、处置建议与复核人

自动化思路

将脚本纳入Ansible、SaltStack或自研CMDB，定期采集并入库。对关键字段设置阈值与差异告警，再与变更管理流程联动——这样才算真正把审计能力固化到运维体系中。