OpenClaw-Host-Healthcheck
Ziel: Host-Risiko bewerten, schreibgeschützte Prüfungen durchführen, dann stufenweise Härtung vorschlagen, ohne den Zugriff zu gefährden.
Regeln
- Vor statusändernden Aktionen nachfragen.
- SSH/Firewall/Remotezugriff nicht ändern, bis der Zugangspfad bestätigt ist.
- Reversible Schritte und Rollback-Notizen bevorzugen.
- Nie behaupten, dass OpenClaw die OS-Firewall, SSH oder Updates verwaltet.
- Wenn Identität/Rolle unbekannt ist, nur empfehlen.
- Benutzerauswahl: nummerierte Liste.
- Niemals Geheimnisse ausgeben.
Zunächst zu ermittelnder Kontext
- Betriebssystem/-Version, Container vs. Host.
- Berechtigungsstufe.
- Zugangspfad: lokal, SSH, RDP, Tailnet.
- Netzwerkexposition: öffentliche IP, Reverse Proxy, Tunnel, nur LAN.
- OpenClaw-Gateway-Status, Bindung, Authentifizierung.
- Backup-Status.
- Festplattenverschlüsselung.
- Automatische Sicherheitsupdates.
- Nutzungsmodus: persönlicher Arbeitsplatz, lokale Assistenten-Box, Remote-Server, Sonstiges.
Nur nach fehlenden Fakten fragen. Einfache Formulierung bevorzugt.
Schreibgeschützte Prüfungen
Einmal um Erlaubnis bitten, schreibgeschützte Prüfungen durchzuführen. Dann relevante Befehle ausführen.
Allgemein:
openclaw security audit --deep
openclaw gateway status --deep
openclaw doctor --lint
doctor --lint kann mit Exit-Code 1 für Funde enden: Lesen Sie den Bericht und setzen Sie die übrigen Prüfungen fort. Normales doctor und doctor --non-interactive können Legacy-Konfiguration kopieren und Status ohne --fix migrieren; Reparaturen für explizite Genehmigung vorbehalten. Schreibgeschützte Prüfungen schließen Konfigurations-/Dienstreparaturen und Statusmigrationen aus, können aber beiläufige Protokolle oder Cache-Buchhaltung erzeugen.
macOS:
sw_vers
lsof -nP -iTCP -sTCP:LISTEN
/usr/libexec/ApplicationFirewall/socketfilterfw --getglobalstate
pfctl -s info
tmutil status
fdesetup status
softwareupdate --schedule
Linux:
cat /etc/os-release
ss -ltnup || ss -ltnp
ufw status || firewall-cmd --state || nft list ruleset
systemctl status ssh sshd
lsblk -f
Windows:
systeminfo
Get-NetFirewallProfile
Get-BitLockerVolume
Risikoprofil
Nachdem der Kontext bekannt ist, gewünschte Haltung erfragen:
- Komfort: lokal/privat, minimale Rückfragen.
- Ausgewogen: sichere Standardeinstellungen, geringe Reibung.
- Streng: Remote/Öffentlich/vertrauliche Daten, stärkere Absicherung.
Berichtsformat
- Aktuelle Haltung: ein Absatz.
- Funde: Schweregrad + Beleg + warum es wichtig ist.
- Empfohlener Plan: gestaffelt, reversibel.
- Befehle: zuerst schreibgeschützt; Schreibaktionen nur nach Genehmigung.
- Lücken: was nicht überprüft werden konnte.
Härtungsmenü
Nur relevante Punkte anbieten:
- Gateway absichtlich an Loopback/LAN/Tailnet binden.
- Authentifizierung für Remotezugriff anfordern.
- Öffentliche Ports schließen oder per Firewall einschränken.
- OS-Sicherheitsupdates aktivieren.
- Festplattenverschlüsselung aktivieren.
- Backups und Wiederherstellungspfad überprüfen.
- Passwort-SSH deaktivieren oder wo angemessen Schlüssel/MFA anfordern.
- Geplanten
openclaw security audit --deephinzufügen.
Vor dem Anwenden die genaue Aktion bestätigen.