Clauditor

核心用法

Clauditor 是一款专为 Clawdbot 设计的防篡改审计看门狗，通过监控系统文件活动并生成不可伪造的日志链，确保安全防护的终极可靠性。其工作流程分为引导式安装和日常监控两阶段：

安装阶段：通过交互式 CLI 向导（clauditor wizard）分6步完成部署，每步均包含「执行内容」「安全原理」「具体命令」三重说明，用户逐条确认后推进。关键设计在于创建独立的 sysaudit 系统用户，使看门狗进程与主代理隔离运行。

运行阶段：后台服务 systemd-journaldd（注意名称伪装）持续监控配置的 watch_paths，将所有文件事件写入 /var/lib/.sysd/.audit/events.log，并以 HMAC 链式结构确保每条记录依赖前一条的哈希值，形成密码学上的顺序防篡改证据。

显著优点

• 入侵免疫架构：即使攻击者完全控制 Clawdbot，也无法终止、欺骗或清除审计进程
• 密码学级证据：HMAC 链设计使任何单条日志的修改都会导致后续全部校验失败
• 渐进式部署：向导模式降低 Linux 安全工具的配置门槛，适合非专业用户

潜在局限

• 平台锁定：仅支持 Linux，依赖 cargo 编译和 systemctl
• 隐蔽性依赖：通过伪装服务名称（systemd-journaldd 仿冒 systemd-journald）实现"安全隐蔽"，此做法本身可能触发 EDR 告警
• 单点密钥风险：HMAC 密钥存储于 /etc/sysaudit/key，若安装阶段即被入侵，整条证据链根基受损
• 无远程告警：仅生成本地日志，需配合其他工具实现实时威胁响应

适合人群

Clawdbot 用户、Linux 服务器管理员、需要满足合规审计要求（如不可抵赖日志）的安全团队。

常规风险

• 权限管理：安装需多次 sudo，命令粘贴错误可能导致系统用户配置异常
• 隐蔽维护：伪装服务名会增加后续运维认知负担
• 密钥轮换：当前设计未体现 HMAC 密钥更新机制，长期使用存在泄露累积风险

Clauditor 安全审计 Watchdog 评估

核心功能

Clauditor 是专为 Clawdbot 代理设计的防篡改审计 watchdog，通过监控系统调用和文件系统活动，创建不可伪造的审计日志链。其核心安全假设在于：即使 Clawdbot 主代理完全被攻陷，攻击者也无法停止 watchdog、伪造日志条目或销毁证据。

工具采用 HMAC 链式证据机制，每个日志条目包含前一个条目的哈希值，形成密码学链接，任何篡改都会导致链断裂而被检测。日志存储于隔离的用户空间（sysaudit 系统用户），与主代理运行环境分离。

显著优点

1. 纵深防御架构：通过独立系统用户、systemd 服务隔离、防篡改日志三重机制，实现真正的安全边界
2. 零网络攻击面：纯本地运行，无外部 API 调用，从根本上消除数据外泄渠道
3. 渐进式安装向导：6 步引导式 CLI 向导（clauditor wizard），每一步均说明原理与风险，降低误配置概率
4. 密码学完整性保证：HMAC 链设计确保日志的不可抵赖性和可追溯性
5. 代码质量优异：6,666 行 Rust 代码，85.6% 覆盖率，无危险函数调用，通过六维安全检测

潜在局限

• 单点监控局限：仅监控文件系统层面，对内存驻留攻击、内核级 rootkit 防护有限
• Linux 平台绑定：依赖 systemd 和 Linux 特有的用户/权限模型，无法跨平台部署
• 初始化复杂度：需要 root 权限创建系统用户、配置 systemd 服务，对普通用户门槛较高
• 日志存储消耗：持续监控产生的 HMAC 链式日志随时间增长，需规划存储策略

适用场景

• 高安全性要求的 Clawdbot 部署环境
• 需要合规审计日志的政企场景
• 对代理行为可追溯性有强需求的研究/金融场景

常规风险提示

• 需妥善保管 /etc/sysaudit/key 密钥文件，丢失将导致历史日志无法验证
• wizard.sh 快捷安装脚本仍需 root 执行，建议审查后再运行
• 监控路径配置需谨慎，过度监控可能影响系统性能

技术实现亮点

配置采用 TOML 格式，默认监控路径和行为 UID 均可自定义。日志解析支持 Markdown 格式输出，便于人工审查和自动化报告生成。