Clauditor

核心用法

Clauditor 是专为 Clawdbot 设计的安全审计守护进程，采用分层隔离架构实现不可否认的日志记录。用户通过交互式向导完成六步安装：创建独立系统用户、配置内核审计规则、部署 systemd 服务、生成 HMAC 密钥、设置日志目录权限、启动监控守护进程。核心命令包括 wizard status/next/verify 三步走安装流程，以及 digest 子命令生成可验证的 Markdown 格式审计报告。

运行时通过 Linux auditd 内核子系统监控配置的 watch_paths，所有事件经 HMAC-SHA256 签名后追加到仅追加日志文件，签名密钥由独立的 sysaudit 用户持有，形成密码学证据链。

显著优点

• 入侵抵抗设计：日志进程以低权限独立用户运行，与 Clawdbot 主进程隔离；即使攻击者获取 root，也无法在不破坏 HMAC 链的前提下篡改历史记录
• 零配置快速部署：向导模式将复杂的 Linux 审计系统配置拆解为可验证的步骤，降低安全工具使用门槛
• 可验证的证据格式：digest 输出带完整校验和的 Markdown 报告，便于合规审计和司法取证

潜在局限与风险

• 单点故障隐患：密钥文件 /etc/sysaudit/key 若未离线备份，磁盘损坏将导致所有历史日志无法验证
• 隐蔽通道未解决：恶意 Clawdbot 仍可通过 CPU/内存侧信道或网络外泄数据，Clauditor 仅监控文件系统层
• 内核依赖：依赖 Linux audit 子系统，容器化或受限内核环境（如 WSL2、某些云主机）可能无法启用
• 配置复杂性：target_uid 等参数需手动调优，误配可能导致日志淹没或监控盲区

适合人群

• 运行高权限 AI 代理（Clawdbot）且需满足合规审计要求的系统管理员
• 研究 AI 安全/沙箱隔离的安全研究人员
• 对「不可停止的审计」有强需求的企业内网环境

常规风险

中等偏高。虽然设计目标为安全工具，但：1) 安装脚本需 root 执行，存在供应链攻击面；2) 内核审计规则配置错误可能引发系统不稳定；3) 密钥管理不善将导致审计失效。建议配合离线密钥托管和定期 digest 验证使用。

核心用法

Clauditor 是一款专为 Clawdbot 代理设计的系统级安全监控工具，通过 Rust 原生实现 fanotify/inotify 监控，捕获可疑文件系统活动并生成防篡改审计日志。

安装方式：提供交互式向导 (./clauditor wizard) 和快速脚本 (wizard/wizard.sh) 两种模式，通过 6 步引导完成系统用户创建、服务安装和密钥配置。

日常操作：

• 查看状态：systemctl status systemd-journaldd
• 生成审计摘要：clauditor digest --log /var/lib/.sysd/.audit/events.log --key /etc/sysaudit/key
• 配置监控规则：编辑 /etc/sysaudit/config.toml 自定义 watch_paths 和 target_uid

核心安全机制：

• 权限分离：守护进程以独立 sysaudit 用户运行，与 Clawdbot 隔离
• HMAC-SHA256 链式日志：每个条目包含前一个条目的哈希，形成密码学证据链
• 仅追加存储：日志文件设置 append-only 属性，防止篡改删除

显著优点

1. 纵深防御设计：即使 Clawdbot 完全被入侵，攻击者也无法停止监控、伪造日志或删除证据——这是传统审计工具难以实现的隔离级别
2. Rust 安全基线：内存安全语言杜绝缓冲区溢出等经典漏洞，代码结构清晰（~3500 行，6 crate 工作区）
3. 零外部依赖：纯本地运行，无网络请求，杜绝供应链投毒和数据外泄风险
4. 透明可验证：向导模式展示每一步执行的命令，支持 --dry-run 预演；digest 功能可独立验证日志完整性

潜在局限

• root 权限门槛：安装需 root 权限创建系统用户和 systemd 服务，存在信任假设
• Linux 专属：依赖 fanotify/systemd，不支持 macOS/Windows
• 早期版本：v0.1.2 功能稳定但生态较新，社区实践案例有限
• 运维复杂度：需要理解 systemd 服务管理、文件权限审计等系统管理技能

适合人群

• Clawdbot 高安全场景用户：处理敏感数据、运行不可信代码的企业部署
• 安全运维工程师：具备 Linux 系统管理背景，需要可验证的审计证据链
• 合规要求场景：满足 SOC 2、ISO 27001 等标准对不可篡改日志的要求

常规风险

1. 安装时 root 权限滥用：需审查 wizard.sh 确认无非预期命令
2. 密钥管理：HMAC key 存储于 /etc/sysaudit/key，需确保备份和访问控制
3. 日志存储增长：持续监控产生大量事件，需规划存储容量和轮转策略
4. 误报调优：默认规则可能产生噪音，需根据实际场景调整 min_severity 阈值

建议首次在隔离环境（VM/容器）测试安装流程，验证二进制哈希后再部署至生产环境。