核心用法
Clauditor 是一款专为 Clawdbot 设计的防篡改审计看门狗，通过监控系统文件活动并生成不可伪造的日志链，确保安全防护的终极可靠性。其工作流程分为引导式安装和日常监控两阶段：
安装阶段：通过交互式 CLI 向导（clauditor wizard）分6步完成部署，每步均包含「执行内容」「安全原理」「具体命令」三重说明，用户逐条确认后推进。关键设计在于创建独立的 sysaudit 系统用户，使看门狗进程与主代理隔离运行。
运行阶段：后台服务 systemd-journaldd（注意名称伪装）持续监控配置的 watch_paths，将所有文件事件写入 /var/lib/.sysd/.audit/events.log，并以 HMAC 链式结构确保每条记录依赖前一条的哈希值，形成密码学上的顺序防篡改证据。
显著优点
- 入侵免疫架构：即使攻击者完全控制 Clawdbot，也无法终止、欺骗或清除审计进程
- 密码学级证据：HMAC 链设计使任何单条日志的修改都会导致后续全部校验失败
- 渐进式部署：向导模式降低 Linux 安全工具的配置门槛，适合非专业用户
潜在局限
- 平台锁定：仅支持 Linux，依赖
cargo编译和systemctl - 隐蔽性依赖：通过伪装服务名称（
systemd-journaldd仿冒systemd-journald）实现"安全隐蔽"，此做法本身可能触发 EDR 告警 - 单点密钥风险：HMAC 密钥存储于
/etc/sysaudit/key，若安装阶段即被入侵，整条证据链根基受损 - 无远程告警：仅生成本地日志，需配合其他工具实现实时威胁响应
适合人群
Clawdbot 用户、Linux 服务器管理员、需要满足合规审计要求（如不可抵赖日志）的安全团队。
常规风险
- 权限管理：安装需多次
sudo，命令粘贴错误可能导致系统用户配置异常 - 隐蔽维护：伪装服务名会增加后续运维认知负担
- 密钥轮换：当前设计未体现 HMAC 密钥更新机制，长期使用存在泄露累积风险