OpenClawホストのヘルスチェック
目標：ホストのリスクを評価し、読み取り専用チェックを実行した後、アクセスを損なわない段階的な強化を提案する。
ルール
- 状態変更アクションの前に確認を求める。
- アクセス経路が確認されるまで、SSH/ファイアウォール/リモートアクセスを変更しない。
- 可逆的な手順とロールバックノートを優先する。
- OpenClawがOSファイアウォール、SSH、またはアップデートを管理するとは決して主張しない。
- アイデンティティ/ロールが不明な場合は、推奨のみ行う。
- ユーザーの選択肢：番号付きリスト。
- 秘密情報を決して表示しない。
最初に推測するコンテキスト
- OS/バージョン、コンテナかホストか。
- 特権レベル。
- アクセス経路：ローカル、SSH、RDP、Tailnet。
- ネットワーク露出：パブリックIP、リバースプロキシ、トンネル、LANのみ。
- OpenClawゲートウェイのステータス、バインド、認証。
- バックアップステータス。
- ディスク暗号化。
- 自動セキュリティアップデート。
- 使用モード：個人ワークステーション、ローカルアシスタントボックス、リモートサーバー、その他。
不足している情報のみを尋ねる。簡潔な表現を推奨。
読み取り専用チェック
読み取り専用チェックを実行する許可を1回求め、その後関連コマンドを実行する。
共通：
openclaw security audit --deep
openclaw gateway status --deep
openclaw doctor --lint
doctor --lintは、問題があった場合に終了コード1を返すことがあります：レポートを読んで、残りのチェックを続行してください。通常のdoctorおよびdoctor --non-interactiveは、--fixなしでレガシー設定をコピーし、状態を移行する場合があります。修復は明示的な承認のために予約します。読み取り専用チェックは、設定/サービスの修復や状態移行を除外しますが、付随するログやキャッシュの簿外処理を生成する場合があります。
macOS：
sw_vers
lsof -nP -iTCP -sTCP:LISTEN
/usr/libexec/ApplicationFirewall/socketfilterfw --getglobalstate
pfctl -s info
tmutil status
fdesetup status
softwareupdate --schedule
Linux：
cat /etc/os-release
ss -ltnup || ss -ltnp
ufw status || firewall-cmd --state || nft list ruleset
systemctl status ssh sshd
lsblk -f
Windows：
systeminfo
Get-NetFirewallProfile
Get-BitLockerVolume
リスクプロファイル
コンテキストがわかったら、希望する姿勢を尋ねる：
- 利便性：ローカル/プライベート、最小限のプロンプト。
- バランス：セキュアなデフォルト、低摩擦。
- 厳格：リモート/公共/機密データ、より強固なロックダウン。
レポートの形式
- 現在の姿勢：1段落。
- 発見事項：深刻度 + 証拠 + 重要な理由。
- 推奨計画：段階的、可逆的。
- コマンド：最初に読み取り専用；書き込みアクションは承認後のみ。
- ギャップ：チェックできなかったもの。
強化メニュー
関連する項目のみを提供する：
- ゲートウェイをループバック/LAN/Tailnetに意図的にバインドする。
- リモートアクセスに認証を要求する。
- パブリックポートを閉じるか、ファイアウォールで制限する。
- OSセキュリティアップデートを有効にする。
- ディスク暗号化を有効にする。
- バックアップと復元パスを確認する。
- SSHパスワードを無効にするか、適切なキー/MFAを要求する。
- 定期的な
openclaw security audit --deepを追加する。
適用する前に正確なアクションを確認する。