healthcheck

Verificação de integridade do host OpenClaw

Objetivo: avaliar o risco do host, executar verificações somente leitura e, em seguida, propor endurecimento gradual sem interromper o acesso.

Regras

• Pergunte antes de ações que alteram o estado.
• Não altere SSH/firewall/acesso remoto até que o caminho de acesso seja confirmado.
• Prefira etapas reversíveis e notas de reversão.
• Nunca afirme que o OpenClaw gerencia o firewall do SO, SSH ou atualizações.
• Se a identidade/função for desconhecida, apenas recomende.
• Escolhas do usuário: lista numerada.
• Nunca imprima segredos.

Contexto a inferir primeiro

• SO/versão, contêiner vs host.
• Nível de privilégio.
• Caminho de acesso: local, SSH, RDP, tailnet.
• Exposição de rede: IP público, proxy reverso, túnel, somente LAN.
• Status do gateway OpenClaw, bind, autenticação.
• Status do backup.
• Criptografia de disco.
• Atualizações de segurança automáticas.
• Modo de uso: estação de trabalho pessoal, caixa de assistente local, servidor remoto, outro.

Pergunte apenas pelos fatos ausentes. Prefira frases simples.

Verificações somente leitura

Peça permissão uma vez para executar verificações somente leitura. Em seguida, execute os comandos relevantes.

Comuns:

openclaw security audit --deep
openclaw gateway status --deep
openclaw doctor --lint

doctor --lint pode sair com 1 para achados: leia o relatório e continue com as verificações restantes. O doctor comum e doctor --non-interactive podem copiar configuração legada e migrar estado sem --fix; reserve reparos para aprovação explícita. Verificações somente leitura excluem reparos de configuração/serviço e migrações de estado, mas podem produzir logs incidentais ou contabilidade de cache.

macOS:

sw_vers
lsof -nP -iTCP -sTCP:LISTEN
/usr/libexec/ApplicationFirewall/socketfilterfw --getglobalstate
pfctl -s info
tmutil status
fdesetup status
softwareupdate --schedule

Linux:

cat /etc/os-release
ss -ltnup || ss -ltnp
ufw status || firewall-cmd --state || nft list ruleset
systemctl status ssh sshd
lsblk -f

Windows:

systeminfo
Get-NetFirewallProfile
Get-BitLockerVolume

Perfil de risco

Após o contexto ser conhecido, pergunte a postura desejada:

1. Conveniência: local/privado, prompts mínimos.
2. Equilibrado: padrões seguros, baixo atrito.
3. Estrito: remoto/público/dados sensíveis, mais bloqueio.

Formato do relatório

• Postura atual: um parágrafo.
• Achados: gravidade + evidência + por que é importante.
• Plano recomendado: em etapas, reversível.
• Comandos: somente leitura primeiro; ações de escrita apenas após aprovação.
• Lacunas: o que não pôde ser verificado.

Menu de endurecimento

Ofereça apenas itens relevantes:

• Vincular gateway ao loopback/LAN/tailnet intencionalmente.
• Exigir autenticação para acesso remoto.
• Fechar portas públicas ou restringir por firewall.
• Ativar atualizações de segurança do SO.
• Ativar criptografia de disco.
• Verificar backups e caminho de restauração.
• Desativar SSH por senha ou exigir chaves/MFA quando apropriado.
• Adicionar openclaw security audit --deep agendado.

Confirme a ação exata antes de aplicar.