如何检测PC是否从CD/DVD或USB启动及防范对应数据盗窃的方法

检测方法 #

如果操作者未刻意擦除所有痕迹，可通过以下途径排查：

• 系统启动日志校验
  Windows系统打开事件查看器，筛选事件ID 6005（系统启动）、6006（系统正常关闭），核对事件发生时间是否和你本人的使用记录匹配。如果存在陌生时段的启动记录、且对应时间无本地系统登录日志，基本可判定被外部介质启动过。Linux系统可查询/var/log/auth.log或执行journalctl --list-boots查看历史启动记录做比对。
• BIOS/UEFI启动日志查询
  绝大多数商用消费级主板的UEFI设置界面会留存最近3-10次的启动介质记录，直接进入BIOS即可查看是否有非本地硬盘的启动项被调用。
• 硬盘SMART信息校验
  用CrystalDiskInfo（Windows）或smartmontools（跨平台）查看硬盘的通电次数、累计通电时长，和你自己的使用记录对比，如果有明显的额外通电记录，大概率是被外部系统挂载读取过。
• 敏感文件访问时间检查
  查看重要文件的最后访问时间，如果出现在你未操作的时间段、且排除系统更新、杀毒扫描等正常触发场景，即可判定文件被外部系统读取过。

防范方案 #

BIOS密码仅能防低成本攻击，可通过以下多层方案实现更高安全性：

• 禁用冗余启动项
  进入BIOS/UEFI设置，将本地系统硬盘设为唯一优先启动项，关闭USB、CD/DVD、网卡的启动权限，从引导层面屏蔽绝大多数Live介质的启动可能。
• 开启UEFI安全启动
  关闭CSM兼容模式，开启安全启动，仅允许经过签名的系统引导文件运行，未做签名适配的普通Live系统无法直接启动，攻击者要修改引导规则必须先破解BIOS密码。
• 全盘加密（核心防护手段）
  Windows开启BitLocker加密，Linux使用LUKS加密，Mac开启文件保险箱功能。就算攻击者拆解主板清除BIOS密码、甚至直接拆硬盘挂载到其他设备，没有解密密钥也只能读取到加密乱码，完全无法获取有效数据。注意解密密钥不要存储在本地设备上，建议离线记录或存储在独立的安全加密设备中。
• 物理安全加固
  台式机可使用带锁机箱，避免攻击者直接拆解主板清除BIOS密码或拆卸硬盘；笔记本离开视线时随身携带或存入带锁的储物柜。

内容的提问来源于stack exchange，提问作者Arslan Shahid