RoamSwitch für Linux Handbuch

Dieser Leitfaden behandelt die Desktop-Edition von RoamSwitch (Tray-Symbol + Hauptfenster) und geht das Tray-Menü sowie jeden Tab des Hauptfensters genau in der Reihenfolge durch, in der sie erscheinen. Er setzt eine GTK-Desktop-Umgebung voraus (GNOME, KDE, XFCE usw.). Für den Betrieb auf einem Headless-Server siehe das Server Edition Betriebshandbuch.

1. Über dieses Handbuch

RoamSwitch für Linux läuft als 🛡️-Symbol im System-Tray (Benachrichtigungsbereich) Ihres Desktops. Klicken Sie auf das Tray-Symbol, um ein Menü zu öffnen, und rufen Sie von dort das Hauptfenster für ausführlichere Einstellungen auf.

Viele der fortgeschritteneren Funktionen tragen ein Pro-Label. Das bedeutet, die Funktion wird erst verfügbar, sobald Sie RoamSwitch Pro kaufen (oder testen). Alles ohne dieses Label ist kostenlos nutzbar.

2. Tray-Menü

Dies ist das Menü, das sich öffnet, wenn Sie auf das Tray-Symbol klicken. Hier ist es von oben nach unten.

Vorgehen

1. Die Schutzstufe sofort wechseln: Klicken Sie auf das Tray-Symbol und dann auf Lockdown, Balanced oder Open. Klicken Sie in der anschließend angezeigten Liste der Zeiträume (bis zur nächsten Trennung / 1 Stunde / 2 Stunden / 4 Stunden / für heute / bis zur manuellen Aufhebung) auf die gewünschte Dauer, um sie anzuwenden.
2. Zurück zum automatischen Modus: Klicken Sie auf das Tray-Symbol → „Zurück zum automatischen Modus“.
3. Den sicheren DNS-Anbieter wechseln: Klicken Sie auf das Tray-Symbol, bewegen Sie den Mauszeiger auf das DNS-Untermenü und klicken Sie auf den gewünschten Anbieter.
4. Wenn Sie die Verbindung verlieren: Klicken Sie auf das Tray-Symbol → Untermenü „Wiederherstellung“ → „Notfall-Netzwerkwiederherstellung“.
5. Die Anzeigesprache ändern: Klicken Sie auf das Tray-Symbol → Untermenü „Sprache“, und klicken Sie auf die gewünschte Sprache.

Auf kleineren Bildschirmen oder bei hoher DPI-Skalierung können die Einträge Lockdown/Balanced/Open stattdessen zu einem einzigen Untermenü „Sicherheitsstufe“ zusammengefasst werden (der Inhalt ist in beiden Fällen identisch).

3. Öffnen des Hauptfensters

Sie können das Hauptfenster entweder über „Hauptfenster öffnen“ im Tray-Menü oder durch Klicken auf die Statuszeile öffnen. Anders als bei der Mac-Version, wo jede Funktion ein eigenes Fenster öffnet, befindet sich hier alles in einem großen Fenster mit 19 Tabs (Abschnitten), zwischen denen Sie über die linke Seitenleiste wechseln. Die folgenden Kapitel gehen diese Tabs genau in der Reihenfolge durch, in der sie in der Seitenleiste erscheinen.

4. 🌐 Network Management

Der ganz oben in der Seitenleiste stehende Tab. Er übernimmt die Registrierung des Netzwerks, in dem Sie sich gerade befinden, sowie die Verwaltung Ihrer Liste registrierter Netzwerke.

Vorgehen

1. Das aktuelle Netzwerk registrieren: Klicken Sie auf der Karte „Aktuell verbundenes Netzwerk“ auf die Schaltfläche „Registrieren“, wählen Sie einen Namen und eine Sicherheitsstufe, und klicken Sie auf „Speichern“.
2. Ein registriertes Netzwerk bearbeiten oder löschen: Wählen Sie in der „Liste der registrierten Netzwerke“ die entsprechende Zeile aus und nutzen Sie das Stiftsymbol zum Bearbeiten oder das Papierkorbsymbol zum Löschen.
3. Eine Stufe vorübergehend festlegen: Wählen Sie auf der Karte „Sicherheitsrichtlinie manuell wechseln“ eine Stufe und eine Dauer aus, und klicken Sie auf „Anwenden“.

5. 📊 Security Diagnostic Suite

Ein umfassender Bewertungs-Tab für die Sicherheitskonfiguration Ihres Linux-Rechners. Oben erscheinen eine Punktzahl und ein Titel, darunter eine Bestanden/Nicht-bestanden-Checkliste. Dies ist das Linux-Pendant zur „Umfassenden Sicherheitsdiagnose für Mac“ der Mac-Version. Wir empfehlen, diesen Tab regelmäßig zu prüfen, um sicherzustellen, dass keine roten oder gelben Einträge übrig bleiben.

Vorgehen Neben rot oder gelb markierten Punkten befindet sich eine Schaltfläche zur Behebung. Ein Klick darauf löst das Problem in den meisten Fällen direkt vor Ort, und die Punktzahl wird automatisch aktualisiert.

6. 🚪 Ports & DevIsolator

Der umfangreichste Tab von allen. Er vereint alles rund um Netzwerkgrenzen: Schutz vor exponierten Entwicklungsserver-Ports, ARP-Anomalieerkennung, Sensor-Pairing und Schwachstellenscans.

Vorgehen

1. Den Port eines Entwicklungsservers isolieren: Wählen Sie in der Liste der Karte „Exponierte Ports & Isolierung von Entwicklungsservern“ den gewünschten Port aus und klicken Sie auf „Isolieren“ oder „Blockieren“.
2. Einen Sensor koppeln: Geben Sie im Eingabefeld der Karte „Manuell mit einem Pairing-Code koppeln“ den vom Sensor ausgestellten Code ein und klicken Sie auf „Verknüpfen“.

7. 🔌 USB & BadUSB Guard

Vorgehen

1. Klicken Sie auf der Karte „USB- / BadUSB-Schutz“ auf den Schalter, um ihn zu aktivieren.
2. Wählen Sie in der Liste „Verbundene USB- & HID-Geräte“ ein Gerät aus, das Sie weiterhin nutzen möchten, und klicken Sie auf „Zur Zulassungsliste hinzufügen“.

8. 🦠 Malware & Quarantine

Ein Tab, der ClamAV-Virenschutz mit Linux-spezifischen Low-Level-Abwehrmechanismen vereint: fanotify, Entropieanalyse, YARA-Regeln und No-Exec-Erzwingung.

Vorgehen

1. Sofort scannen: Wählen Sie auf der Karte „ClamAV On-Demand-Scan“ den gewünschten Ordner aus und klicken Sie auf „Scan starten“.
2. Quarantänedateien verwalten: Wählen Sie in der Liste der Karte „Quarantäne-Tresor“ eine Datei aus und klicken Sie auf „Wiederherstellen“ oder „Dauerhaft löschen“.
3. Einen überwachten Ordner hinzufügen: Wählen Sie auf der Karte „Überwachte Ordner“ über „Ordner hinzufügen“ zum Beispiel Ihren Downloads-Ordner aus und klicken Sie auf „Speichern“.

9. 🛡️ DNS Threat Guard

Blockiert die Namensauflösung auf DNS-Ebene für Phishing-Sites und die Command-and-Control-Server (C2), über die Malware mit Angreifern kommuniziert. Wählen Sie einen Anbieter (z. B. Quad9) aus dem Dropdown-Menü, und legen Sie unter „Geltungsbereich“ fest, für welche Netzwerke dies gilt. Dies arbeitet zusammen mit dem DNS-Untermenü im Tray-Menü (Kapitel 2).

Vorgehen Aktivieren Sie zunächst den Schalter, wählen Sie dann im Dropdown-Menü „Sicherer DNS-Anbieter“ den gewünschten Anbieter, und legen Sie unter „Geltungsbereich“ fest, für welche Netzwerke dies gelten soll.

10. 🔒 VPN Tunnel Pro

Eine VPN-Funktion, die Ihren Datenverkehr in nicht vertrauenswürdigen Netzwerken verschlüsselt. Die Statuskarte zeigt den aktuellen Verbindungsstatus, die Konfigurationskarte verwaltet Ihre Verbindungen (z. B. den Import einer WireGuard-Konfiguration). Wie in Abschnitt 11.2 des Mac-Handbuchs schützt dies vor Abhören und Manipulation, wenn Sie sich in einem nicht vertrauenswürdigen Netzwerk befinden.

Vorgehen

1. Wählen Sie auf der Konfigurationskarte unter „Backend“ zwischen WireGuard und Tailscale.
2. Bei WireGuard wählen Sie unter „Konfigurationsdatei importieren“ eine .conf-Datei aus. Bei Tailscale klicken Sie auf „Anmelden“ und authentifizieren Ihr Konto im Browser.
3. Klicken Sie nach Abschluss der Einrichtung auf „Verbinden“. Sobald die Statuskarte „Verbunden“ anzeigt, ist das VPN aktiv.

11. 🔑 Secret & API Key Audit

Ein Audit-Tool, das Ihr Home-Verzeichnis und Ihre Konfigurationsdateien nach sensiblen Daten durchsucht – API-Schlüsseln, Passwörtern, Tokens –, die versehentlich im Klartext zurückgelassen wurden. Hilft zu verhindern, dass Entwickler unbeabsichtigt Geheimnisse in einem Repository oder einer Konfigurationsdatei hinterlassen.

Vorgehen Klicken Sie auf „Scan starten“, um die Prüfung zu beginnen. Ist sie abgeschlossen, werden die erkannten Elemente (Dateipfad und Typ) aufgelistet.

12. 📜 Security Log Audit

Ein Tab zum Prüfen und Durchsuchen sicherheitsrelevanter Protokolle, die von RoamSwitch und Ihrem Linux-System aufgezeichnet wurden. Ermöglicht es Ihnen, in chronologischer Reihenfolge nachzuvollziehen, was erkannt und wie darauf reagiert wurde.

13. 🔔 Notifications

Ein Verlauf der Benachrichtigungen, die RoamSwitch in den letzten 7 Tagen angezeigt hat. Praktisch, um eine verpasste Tray-Benachrichtigung nachträglich nachzuschlagen.

14. 🕒 Incident Timeline

Ermöglicht es Ihnen, Sicherheitsereignisse – Erkennung, Reaktion, Auflösung – gemeinsam in chronologischer Reihenfolge zu überprüfen (experimentelle Funktion). Nützlich, wenn Sie das Gesamtbild dessen erfassen möchten, was passiert ist, statt einzelne Protokolleinträge nachzuverfolgen.

15. 🔎 Security Activity Log

Ermöglicht die übergreifende Suche und Visualisierung von allem, was RoamSwitch bisher erkannt, gemeldet oder behandelt hat, auf einem einzigen Bildschirm. Führt den Inhalt von Kapitel 14 „Incident Timeline“ und Kapitel 13 „Notifications“ in einer Ansicht zusammen, filterbar nach Zeitraum, Kategorie, Schweregrad und Stichwort. Dies unterscheidet sich von Kapitel 12 „Security Log Audit“ (das betriebssystemseitige Protokolle wie journald prüft) — dieser Tab dient stattdessen dem Rückblick auf das, was RoamSwitch selbst bereits erkannt, gemeldet oder entschieden hat.

Vorgehen Grenzen Sie zunächst mit den Dropdowns für Zeitraum, Kategorie und Schweregrad sowie dem Stichwort-Suchfeld ein, und klicken Sie dann auf einen bestimmten Zeitabschnitt im Balkendiagramm oben, um die Liste auf genau diesen Zeitabschnitt einzugrenzen. Mit der Schaltfläche „Eingrenzung aufheben“ heben Sie die Eingrenzung wieder auf.

16. 🔗 Link Safety Audit

Kombiniert Link-Schutz-Einstellungen mit einem manuellen Prüfwerkzeug, mit dem Sie eine einzelne URL einfügen und sofort verifizieren können. Entspricht den Abschnitten 9.5 und 9.6 im Mac-Handbuch.

Vorgehen Um eine URL direkt vor Ort zu prüfen, fügen Sie sie in das Eingabefeld der Karte „Manuelle Prüfung“ ein und klicken Sie auf „Prüfen“. Innerhalb weniger Sekunden erscheint ein Sicherheitsurteil.

17. 📦 Package CVE Scan

Ein umfassender Tab für Schwachstellen- und Supply-Chain-Schutz, der alles vom Paketmanager Ihres Betriebssystems bis zu sprachspezifischen Entwicklungspaketen abdeckt.

Unter Ubuntu (20.04, 22.04, 24.04, 26.04) verwendet der CVE-Scan der OS-Pakete die Ubuntu-eigenen Daten und gleicht nach Quellpaketname und Quellversion ab. Geprüft werden nur schwerwiegende CVEs (CVSS 7,0 oder höher), für die Ubuntu bereits eine Korrektur veröffentlicht hat. CVEs ohne veröffentlichte Korrektur, noch nicht bewertete und solche, die Ubuntu nicht beheben will, sind nicht enthalten; „kein Treffer“ bedeutet daher nicht, dass es keine bekannten CVEs gibt. Der Kernel bleibt den vorhandenen Kernel-CVE-Daten überlassen und gehört nicht zu dieser Prüfung. Eine Korrektur, die es nur über Ubuntu Pro (ESM) gibt, ist mit 🔒 und dem Hinweis „Diese Korrektur gibt es nur über Ubuntu Pro (ESM)“ gekennzeichnet. Bei Ubuntu-Derivaten wie Linux Mint und Pop!_OS und bei nicht unterstützten Versionen meldet der Scan, dass dieses Ubuntu vom CVE-Abgleich nicht abgedeckt wird. Auch dann wird nicht auf die Debian-Daten umgeschaltet, um Fehlalarme zu vermeiden. Die Ubuntu-Daten sind signiert und werden nur an Ubuntu-Rechner ausgeliefert (etwa 4 MB). Ein Rechner, der sie noch nicht hat, holt sie beim nächsten täglichen Update und prüft danach etwa alle 30 Tage auf eine neuere Version. Der Abgleich für Debian, Arch, die RHEL-Familie und SUSE bleibt unverändert.

Vorgehen

1. Klicken Sie auf der Karte „CVE-Scan der OS-Pakete“ oder „CVE-Scan der Entwicklungsabhängigkeiten“ auf „Scan starten“.
2. Wenn der Scan abgeschlossen ist, werden die passenden Sicherheitslücken aufgelistet, jeweils mit einem Lösungsvorschlag (etwa einem Update-Befehl).

18. 💎 Pro License

Listet alles auf, was kostenlos enthalten ist, geschäftsorientierte Informationen für den Betrieb auf Servern, VPS, in der Cloud oder auf Bare Metal, sowie den Zugang zum Fleet-Panel zur zentralen Verwaltung mehrerer Geräte. Auch die Lizenzaktivierung für Pro erfolgt hier.

Vorgehen

1. Fügen Sie Ihren Lizenzschlüssel in das Lizenzschlüsselfeld ein und klicken Sie auf „Aktivieren“.
2. Falls Sie noch keinen Schlüssel besitzen, klicken Sie auf „Kaufen“, um zur Kaufabwicklung zu gelangen. Sobald die Aktivierung erfolgreich war, werden dieser Tab und das Tray-Menü entsprechend aktualisiert.

19. 🧰 Recovery & Uninstall

Ein Tab, der die Notfallwiederherstellung (für den Fall, dass der Datenverkehr versehentlich blockiert bleibt) und die Deinstallation zusammenführt – dieselbe Funktionalität wie das Untermenü „Wiederherstellung“ im Tray-Menü, jedoch mit ausführlicheren Erklärungen.

Vorgehen

1. Notfallwiederherstellung bei Verbindungsverlust: Klicken Sie auf die Schaltfläche „Notfall-Netzwerkwiederherstellung“ und wählen Sie im Bestätigungsdialog „Wiederherstellen“.
2. So deinstallieren Sie: Folgen Sie der Anleitung in diesem Tab, oder führen Sie im Terminal den Befehl für Ihr Paketformat aus (zum Beispiel sudo apt purge roamswitch). Einzelheiten finden Sie unter Deinstallationsschritte.

20. 📖 Help & Guide

Der in die App integrierte Hilfebildschirm, der alles von der grundlegenden Nutzung bis zu ergänzenden Hinweisen zu einzelnen Funktionen abdeckt. Nutzen Sie ihn zusammen mit diesem Webhandbuch.

21. 🌐 Language

Legt die Anzeigesprache des Hauptfensters fest. Hier stehen dieselben Sprachen zur Verfügung wie bei der eigenständigen Spracheinstellung des Tray-Menüs (Kapitel 2).

Vorgehen Wählen Sie im Dropdown-Menü die gewünschte Sprache, und die Anzeige des Hauptfensters wechselt sofort.

22. ℹ️ About RoamSwitch

Vereint Versionsinformationen, allgemeine Einstellungen, Entwicklerinformationen, Lizenz, Sicherheitsrichtlinie, Datenschutzrichtlinie, Nutzungsbedingungen (EULA), Haftungsausschluss sowie Marken- und Urheberrechtshinweise – die grundlegenden und rechtlichen Informationen der App. Wenn Sie den Support kontaktieren, prüfen Sie hier zuerst Ihre Versionsnummer.

23. 🔄 Upgrade

Ein Tab, der den Status automatischer Updates für die App selbst, den Paketaktualisierungsstatus sowie den Status der Bedrohungsdefinitionen/Betrugsseitenliste anzeigt. Wenn Sie über den Paketmanager Ihrer Distribution installiert haben, werden Updates normalerweise automatisch zusammen mit regulären Systemupdates aktuell gehalten.

24. 🛟 Ransomware-Wiederherstellung (Snapshots und Dateiwiederherstellung)

Im Reiter „Ransomware-Wiederherstellung“ in der Seitenleiste holen Sie für Ihr Home-Verzeichnis nur die benötigten Dateien oder Ordner sicher aus Snapshots heraus, die vor einem Schaden automatisch angelegt wurden. Ihre aktuellen Dateien werden nie überschrieben. (In der Standard-Desktop-Edition ab Linux 1.11.21.)

Es gibt drei Arten von Snapshots. „Vor dem Schaden“-Snapshots entstehen unabhängig von einem Schaden automatisch in festen Abständen (standardmäßig alle 6 Stunden). „Bei Erkennung“-Snapshots entstehen immer, wenn ransomware-typisches Verhalten erkannt wird. „Manuell“-Snapshots erstellen Sie selbst per Befehl.

Wählen Sie zum Wiederherstellen den Snapshot „Vor dem Schaden“ mit der Markierung „★ Empfohlen“. Bei Erkennung: ⚠ Nach der Erkennung erstellt und enthält daher bereits verschlüsselte Dateien. Nicht als Quelle für eine Wiederherstellung vor der Verschlüsselung geeignet (sichert Unversehrtes und dient als Beweis).

Wiederhergestellte Dateien überschreiben Ihre aktuellen Dateien nicht. Sie landen in einem separaten Ordner (standardmäßig RoamSwitch-Recovered// im Zielordner).

Snapshots vor dem Schaden werden standardmäßig alle 6 Stunden automatisch angelegt (4 Generationen unter btrfs, 2 unter LVM). Das Intervall ändern Sie mit dem Befehl sudo roamswitch-ransomware-rollback config set --periodic-interval-secs <N> (0 schaltet es ab, sonst mindestens 300 Sekunden). Nach einem Snapshot zum Zeitpunkt der Erkennung pausieren die Snapshots vor dem Schaden 7 Tage lang, damit bereits verschlüsselte Daten die letzte saubere Generation nicht verdrängen. Snapshots zum Zeitpunkt der Erkennung werden unabhängig von dieser Einstellung immer angelegt.

Unterstützt werden btrfs und LVM. Ohne ein solches Ziel erscheint folgende Meldung. Snapshot-Liste konnte nicht abgerufen werden (Ransomware-Rollback ist nicht installiert oder es gibt kein btrfs/LVM-Ziel).

Alles zurückrollen (fortgeschritten, nur per Befehl): sudo roamswitch-ransomware-rollback restore <ID>. Achtung: Der aktuelle Stand wird mit dem Inhalt des gewählten Snapshots überschrieben. Versuchen Sie zuerst „Dateien herausholen“ und „Ordner herausholen“. Ein Snapshot zum Zeitpunkt der Erkennung wird ohne --accept-tampered abgelehnt.

Auch über die Befehlszeile nutzbar (roamswitch-ransomware-rollback). Details finden Sie auf der Seite CLI / Headless-Betrieb.

25. 🕸️ Erkennung von Web-Shells und eingeschleustem Code (Web Rules)

Eigene Regeln finden PHP-, JavaScript-, JSP- und ASP-Web-Shells, eingeschleusten verschleierten Code, in Bildern versteckten PHP-Code und .htaccess-Missbrauch. Auf einem Rechner, auf dem Sie Web-Apps entwickeln, sind auch Ihre Projektordner erfasst. Es ist keine Einrichtung nötig: Dateien werden beim Schreiben oder Öffnen automatisch geprüft. Die Regeln gehören zum Produkt und werden durch das tägliche, rein empfangende Update aktualisiert. (Ab Linux 1.11.23.)

Bei einem Fund erscheint ein Bestätigungsdialog („Gefährliche Datei erkannt“). Er zeigt Namen und Ort der Datei mit drei Schaltflächen: „Später“, „Zulassen (künftig nicht scannen)“ und „In Quarantäne verschieben“. Bis Sie wählen, geschieht mit der Datei nichts. „In Quarantäne verschieben“ legt sie in den Tresor (im Tab „Malware & Quarantäne“ können Sie sie später wiederherstellen). Wird Code markiert, den Sie gerade entwickeln, sehen Sie sich zuerst den Inhalt an. „Zulassen“ nimmt die Datei aus künftigen Prüfungen heraus.

Ganze Ordner prüfen Sie mit roamswitch web-scan <Ordner>. Standardmäßig wird nur angezeigt, nichts verschoben. Das Ergebnis nennt Schweregrad (CRITICAL / HIGH / MEDIUM), Regelname und Beschreibung. Der Exit-Code ist 0 ohne Treffer und 2 bei einem Treffer mit critical oder high (praktisch für CI). --json gibt JSON aus, --no-default-excludes schließt auch alles unter tests/, fixtures/ und .git/ ein; diese werden standardmäßig übersprungen, weil Testcode dieselben Konstrukte zitiert. roamswitch web-rules zeigt Regelversion und Zustand.

Das sind Einstellungen für Fortgeschrittene. Eigene Regeln legen Sie in /etc/roamswitch/rules.d/*.json ab (gelesen werden nur Dateien, die root gehören und die andere nicht beschreiben können; eine Vorlage liefert roamswitch web-rules example rules, prüfen können Sie mit roamswitch web-rules validate <Datei>). Um bei jedem Fund ein eigenes Skript aufzurufen, legen Sie eine ausführbare Datei unter /etc/roamswitch/hooks/post-detection ab (der Treffer kommt als JSON über die Standardeingabe; Vorlage: roamswitch web-rules example hook). Quarantäne-Stufe und weitere Optionen stehen in /etc/roamswitch/web_rules.conf (roamswitch web-rules example conf).

Grenzen: Gelesen werden nur die ersten 256 KB einer Datei (beim Schreiben/Ausführen) bzw. 4 MB (Scan); zerlegte Namen wie 'ev'.'al' werden nicht verfolgt, und mangels echter Proben werden keine Signaturen für einzelne bekannte Malware mitgeliefert. Bei Verdacht auf einen Fehlalarm wählen Sie „Zulassen“ oder schließen die Datei mit einer eigenen Regel aus.

26. 🤖 Prüfung der KI-Agenten-Einrichtung

Dieser Bildschirm prüft die Anweisungsdateien und Skills für KI-Agenten (Claude Code, Codex, Cursor, Gemini, OpenClaw und andere) und OpenClaws Einstellungsdatei auf riskante Inhalte. Öffnen Sie im linken Menü „🤖 Prüfung der KI-Agenten-Einrichtung“ und drücken Sie „Prüfung starten“; das geschieht schreibgeschützt. Geprüft werden ~/.claude (CLAUDE.md, commands, agents, skills), ~/.codex, ~/.cursor/rules, ~/.gemini, ~/.agents und ~/.openclaw im Home-Ordner sowie CLAUDE.md, AGENTS.md, .cursorrules und Ähnliches in den unter „Paket-CVE-Scan“ registrierten Projektordnern. Es gibt keine Netzwerkverbindung, und weder Dateiinhalte noch Schlüssel- oder Token-Werte erscheinen auf dem Bildschirm oder im Ergebnis.

Gesucht wird nach in unsichtbaren Unicode-Zeichen versteckten Anweisungen, Sätzen wie „ignoriere vorherige Anweisungen“ oder „sag es dem Benutzer nicht“, Code, der ein Skript herunterlädt und unverändert ausführt (curl … | sh), Code, der eine Zeichenfolge dekodiert und ausführt, Verweisen auf geheime Dateien (SSH-Schlüssel, Cloud-Zugangsdaten und Ähnliches) neben etwas, das Daten nach außen sendet, kompiliertem Code in einem Skill, für andere Benutzer beschreibbaren Dateien und – bei OpenClaw – ausgeschalteter Authentifizierung, einem Token unter 24 Zeichen, einer Einstellung, die jede Website erlaubt, und den Schaltern, deren Name mit dangerously beginnt. Was in einem HTML-Kommentar steht, der beim Darstellen des Markdowns verschwindet, wird höher eingestuft.

Das Ergebnis ist in „Schweregrad: Hoch“ und „Mittel“ gegliedert, jeweils mit Datei, Zeilennummer und Grund. Ein Treffer heißt „ein Mensch sollte diese Zeile lesen“, nicht „bösartig“; ein Dokument, das Angriffe erklärt, oder ein Beispielsatz in einer Warnung kann zutreffen. Nicht lesbare Dateien werden getrennt aufgeführt, und für sie sagt der Bildschirm nie „keine Befunde“. Auf der Kommandozeile lautet der Befehl roamswitch audit-agent-setup [ORDNER…] [--json]. Ein KI-Assistent erhält dasselbe Ergebnis über das MCP-Tool audit_agent_setup.

27. 🔐 SSH-Brute-Force sperren und der Einbruchsweg in Benachrichtigungen (keine Oberfläche)

Nur solange SSH (sshd) auf diesem Gerät läuft, überwacht es fehlgeschlagene SSH-Anmeldungen und sperrt neue Verbindungen einer Quelle, die in kurzer Zeit wiederholt scheitert. Es trennt auch die SSH-Verbindungen, die diese Quelle bereits offen hatte, nie aber eine authentifizierte Sitzung oder eine Quelle auf Ihrer Ausnahmeliste. Auf einem Gerät, auf dem sshd nicht läuft, liest es nichts und ändert nichts. Es gibt keine Einstellungsoberfläche: Die 10 Schlüssel ssh_guard_* in ~/.config/roamswitch/config.json ändern das Verhalten (siehe die Einstellungstabelle in CLI / Headless-Betrieb). Benachrichtigungen sind Desktop-Benachrichtigungen und bleiben im Verlauf erhalten.

Die derzeit gesperrten Quellen listet sudo roamswitch bans auf, aufgehoben wird mit sudo roamswitch unban <IP> (--all hebt alle auf). Bei den Standard-Schutzstufen des Clients ist eingehender Verkehr geschlossen, sodass Verbindungen SSH möglicherweise gar nicht erreichen; dann hat das Sperren weniger zu tun. Schützt fail2ban oder CrowdSec sshd bereits, überlässt RoamSwitch das Sperren diesen und erkennt und meldet nur.

Eine Benachrichtigung über eine manipulierte wichtige Datei (FIM) nennt jetzt den Prozess, der die Änderung vorgenommen hat, und die SSH-Anmeldung, zu der er gehört (Quelle, Zeit, Authentifizierungsmethode). Eine Benachrichtigung über den Zugriff auf eine Zugangsdaten-Datei enthält das nur, wenn der Prozess zu einer SSH-Anmeldung gehört. Konnte es nicht geprüft werden, steht dort „Der Anmeldeweg konnte nicht ermittelt werden“, und es wird nie behauptet, es sei keine Anmeldung gewesen. Zum Abschalten schreiben Sie "fim_intrusion_context_enabled": false in config.json.