security-dashboard

核心用法

Security Dashboard 是一款专为 OpenClaw 网关和 Linux 服务器基础设施设计的实时安全监控工具。部署后，它通过本地 HTTP 服务（默认端口 18791）提供可视化仪表板和 JSON API 两种访问方式。用户需通过 SSH 端口转发或 Tailscale VPN 访问，默认绑定 127.0.0.1 拒绝任何公网直连。

仪表板涵盖七大监控维度：OpenClaw 网关状态（运行状态、认证令牌强度、活跃会话）、网络安全（Tailscale VPN 状态、公网端口暴露、防火墙状态）、公网暴露评估（综合风险等级判定）、系统安全（待更新补丁、失败登录尝试）、SSH 访问控制（密码认证状态、fail2ban 防护、封禁 IP）、TLS 证书状态（Caddy 服务、WireGuard 加密），以及资源安全（CPU/内存/磁盘使用率、配置文件权限）。所有数据通过 execSync 调用标准 Linux 工具（systemctl、、ss、、ufw、、fail2ban-client 等）采集，API 端点 /api/security` 支持集成到自动化告警流程。

显著优点

安全架构设计领先：该 Skill 采用"默认安全"理念，从安装脚本到运行时的多层防护——专用用户 openclaw-dashboard 无 shell 访问权限，systemd 服务启用 NoNewPrivileges、、ProtectSystem=strict、、ProtectHome=true 等加固选项，形成纵深防御。

零信任网络访问：强制本地绑定消除公网暴露风险，配合 Tailscale 可实现安全的远程访问，文档明确警示修改 0.0.0.0 绑定的风险。

纯只读监控哲学：所有系统调用均为状态查询，不执行任何写操作或配置变更，从根本上杜绝误操作或恶意篡改系统的可能。

实时告警分级：自动识别关键风险（弱令牌、SSH 密码认证、防火墙关闭、fail2ban 停用）并标注红色告警，辅助运维人员快速定位问题。

潜在缺点与局限性

功能边界明确：作为纯监控工具，它不提供一键修复功能，发现防火墙关闭或配置权限错误后仍需人工介入处理。

依赖特定生态：深度集成 OpenClaw 网关，对非 OpenClaw 环境的适用性有限；部分高级功能（如 Tailscale、Caddy、fail2ban）需要预装对应软件才能显示有效数据。

Node.js 运行时依赖：需要 v18+ 版本，在极简容器或嵌入式环境中可能增加部署复杂度。

无内置持久化：监控数据仅存于内存，历史趋势分析需外部集成（如将 API 数据导入 Prometheus/Grafana）。

适合的目标群体

• OpenClaw 网关运维人员：需要实时掌握网关健康状态和安全态势
• 中小规模 Linux 服务器管理员：缺乏商业安全监控预算，追求轻量级开源方案
• DevOps/SRE 工程师：需要将安全状态集成到现有自动化流程（通过 API 端点）
• 安全意识强的个人开发者：管理 VPS 或家庭服务器，希望快速识别配置疏漏

使用风险

配置误用风险：若用户无视文档警告，手动将绑定改为 0.0.0.0 且未配置 Tailscale 或防火墙，将导致敏感安全信息（活跃会话、失败登录记录、系统版本）直接暴露于公网。

sudo 权限范围：虽然 install.sh 将 sudo 限制在特定只读命令，但 NOPASSWD 配置意味着专用用户无需二次认证即可执行这些命令，若该用户被突破，攻击者可枚举系统状态为后续渗透收集情报。

Node.js 供应链风险：依赖 Node.js 运行时及其 npm 生态，需确保基础镜像来源可信，避免被植入恶意依赖。

日志敏感信息：journalctl 读取的日志可能包含 IP 地址、用户名等隐私数据，需确保日志文件本身的访问控制得当。