healthcheck

OpenClaw 호스트 healthcheck

목표: 호스트 위험 평가, 읽기 전용 점검 수행 후 접근을 차단하지 않는 단계적 강화 제안

규칙

• 상태 변경 작업 전에 질문할 것.
• 접근 경로가 확인될 때까지 SSH/방화벽/원격 접속을 변경하지 않음.
• 되돌릴 수 있는 단계와 롤백 참고 사항을 선호함.
• OpenClaw가 OS 방화벽, SSH, 업데이트를 관리한다고 주장하지 않음.
• ID/역할을 알 수 없는 경우 권장만 수행.
• 사용자 선택: 번호 목록.
• 비밀 절대 출력 금지.

먼저 추론해야 할 컨텍스트

• OS/버전, 컨테이너 vs 호스트.
• 권한 수준.
• 접근 경로: 로컬, SSH, RDP, tailnet.
• 네트워크 노출: 공인 IP, 리버스 프록시, 터널, LAN 전용.
• OpenClaw 게이트웨이 상태, 바인딩, 인증.
• 백업 상태.
• 디스크 암호화.
• 자동 보안 업데이트.
• 사용 모드: 개인 워크스테이션, 로컬 어시스턴트 박스, 원격 서버, 기타.

누락된 사실만 질문. 간단한 표현 선호.

읽기 전용 점검

읽기 전용 점검 실행 권한을 한 번 요청. 그런 다음 관련 명령어 실행.

공통:

openclaw security audit --deep
openclaw gateway status --deep
openclaw doctor --lint

doctor --lint는 결과가 있을 경우 종료 코드 1을 반환할 수 있음: 보고서를 읽고 나머지 점검을 계속 진행. 일반 doctor와 doctor --non-interactive는 --fix 없이 레거시 구성을 복사하고 상태를 마이그레이션할 수 있음; 수리는 명시적 승인을 위해 보류. 읽기 전용 점검은 구성/서비스 수리 및 상태 마이그레이션을 제외하지만, 부차적인 로그나 캐시 정리를 생성할 수 있음.

macOS:

sw_vers
lsof -nP -iTCP -sTCP:LISTEN
/usr/libexec/ApplicationFirewall/socketfilterfw --getglobalstate
pfctl -s info
tmutil status
fdesetup status
softwareupdate --schedule

Linux:

cat /etc/os-release
ss -ltnup || ss -ltnp
ufw status || firewall-cmd --state || nft list ruleset
systemctl status ssh sshd
lsblk -f

Windows:

systeminfo
Get-NetFirewallProfile
Get-BitLockerVolume

위험 프로필

컨텍스트를 파악한 후 원하는 보안 수준을 질문:

1. 편의: 로컬/비공개, 최소 프롬프트.
2. 균형: 안전한 기본값, 낮은 마찰.
3. 엄격: 원격/공개/민감 데이터, 더 강한 잠금.

보고서 형식

• 현재 상태: 한 문단.
• 발견 사항: 심각도 + 증거 + 중요성.
• 권장 계획: 단계적, 되돌릴 수 있음.
• 명령어: 읽기 전용 우선; 쓰기 작업은 승인 후에만.
• 격차: 확인할 수 없었던 항목.

강화 메뉴

관련 항목만 제공:

• 게이트웨이를 의도적으로 루프백/LAN/tailnet에 바인딩.
• 원격 접근에 인증 요구.
• 공개 포트 닫기 또는 방화벽으로 제한.
• OS 보안 업데이트 활성화.
• 디스크 암호화 활성화.
• 백업 및 복원 경로 확인.
• SSH 비밀번호 비활성화 또는 키/MFA 요구(적절한 경우).
• 정기 openclaw security audit --deep 추가.

적용 전 정확한 조치 확인.