（14101期）Security Network Hardening – OpenClaw 主机安全审计与加固

OpenClaw 主机安全审计与加固 专业级 OpenClaw 主机安全审计与网络加固工具，提供只读基线检测、分步修复指导及防火墙配置生成，确保 SSH 不断连。 使用说明 核心用法 本 Skill 采用「先审计、后加固」的安全方法论，专为 Linux 主机上的 OpenClaw 运行时环境设计。工作流程分为三个阶段： 1. 只读基线检测通过 uname -a、ss -ltnup、openclaw security audit --deep 等命令收集系统信息，结合 UFW/firewalld/nftables 状态检查，建立当前安全态势的完整画像。 2. 优先级风险识别聚焦 7 类关键风险：通配符特权访问、可写凭证目录、网关认证速率限制缺失、过度暴露的监听端口、metrics 端点暴露、denyCommands 配置失效、工作区符号链接逃逸。 3. 分步修复与验证需用户显式确认后执行变更，严格遵循「先加 SSH 规则→再应用 LAN/单主机规则→最后验证」的安全顺序，生成可回滚的防火墙脚本。 显著优点 防御性设计：默认只读模式，所有变更需二次确认，从源头避免误操作断连 场景精准：针对 OpenClaw 架构特有风险（gateway auth、metrics 暴露、skill symlink）定制检测 工程化输出：自动生成 firewall-rules.md、apply-firewall.sh 及回滚/验证脚本，支持版本控制 兼容考量：主动识别并保留 SSH/RDP/VNC 管理通道 潜在缺点与局限性 环境依赖：需目标主机预装 openclaw CLI 及相应权限，纯理论分析能力有限 网络隔离风险：防火墙规则配置不当可能导致合法管理流量中断（Skill 已内置 SSH 优先规则缓解） 覆盖范围：聚焦主机层与 OpenClaw 特定配置，不替代容器安全、应用层漏洞扫描或云 IAM 审计 适合人群 运维工程师进行 OpenClaw 生产环境上线前安全检查 安全团队执行 Linux 主机基线加固与合规审计 需要生成可审计、可回滚防火墙配置的技术管理者 常规风险 | 风险类型 | 说明 ||---------|------|| 操作风险 | 未充分验证即应用规则可能导致服务不可达 || 验证依赖 | 需人工确认「无关键审计发现」且「网关可达」才算成功 || 配置漂移 | 若未将生成的脚本纳入版本控制，后续环境同步可能产生差异 | 原始说明 Audit and harden an OpenClaw host and its network exposure. Use for security checks, hardening, firewall setup, network exposure review, metrics endpoint res...