CLI / ヘッドレス運用ガイド

1. 構成要素

ヘッドレス構成ではデーモン + roamswitch CLI（+ 必要なら roamswitch-mcp）だけで運用できます。 GUI が無くても自律防御はすべて動作します。

2. デーモン（systemd サービス）

クライアント版

sudo systemctl status  roamswitch.service      # 稼働状態
sudo systemctl enable  roamswitch.service      # 起動時に自動開始（インストール時に有効）
sudo systemctl restart roamswitch.service      # 再起動
journalctl -u roamswitch.service -f            # ログ追尾
journalctl -u roamswitch.service --since "1h ago"

デーモンが起動時・毎サイクル（3 秒間隔）に自律で行う処理:

• 接続中のゲートウェイ MAC を識別し、trusted_networks 設定に照らして nftables プロファイル（open / balanced / lockdown）を切り替え
• ランサムウェア挙動検知（fanotify + シャノンエントロピー + カナリア）
• マルウェアのオンアクセススキャン（fanotify、任意で ClamAV）
• ARP スプーフィング監視、未信頼ネットワークでのゲートウェイ ARP/NDP 予防固定
• カーネル堅牢化（sysctl / Yama / コアダンプ / /tmp noexec）を該当プロファイルで適用
• 脅威保護 DNS の適用/解除（dns_enabled + dns_scope）
• リンクガード（NFQUEUE）でフィッシング接続を警告/遮断
• ランタイム状態を /run/roamswitch/state.json に毎サイクル出力

サーバー版

sudo systemctl status  roamswitch-server.service      # 稼働状態
sudo systemctl restart roamswitch-server.service      # 再起動
journalctl -u roamswitch-server.service -f            # ログ追尾

3. CLI コマンドリファレンス

基本構文: roamswitch <コマンド> [オプション]。引数なしで実行した場合は status と同義です。出力言語は OS ロケール（LC_ALL / LC_MESSAGES / LANG、ja* なら日本語、他は英語）に自動適応します。

隔離（Air-Gap）ポリシー

固定タイマーだけで解除すると、待つだけの攻撃者に突破されるため、隔離のトリガーは信頼度で分類されます（クライアント版・サーバー版共通）。

• 低信頼度（手動の Air-Gap、汎用的な異常、eBPF の Error / Warning 以下など）: 短いタイマーの後に全復旧します（クライアント: airgap_low_confidence_secs、既定600秒。サーバー: guard.yaml の safety_timer_secs、既定300秒。0 でタイマー無効）。
• 高信頼度（カナリア改ざん、ランサムウェア的な大量書き換え、lockdown 中の ARP スプーフィング、eBPF の Critical / Emergency / Alert、同一ルールの繰り返しなど）: 黙って復旧しません。タイマー以降は原因（凍結した PID・カナリア・ARP・ルールの再発火）を再確認し、原因の消滅を確認できたときだけ通知付きで解除します。確認できないまま ack もなく上限（クライアント: airgap_hard_cap_secs、サーバー: server.conf の isolation_hard_cap_secs。既定はどちらも3600秒、0 = 上限なし）に達すると縮退（DEGRADED）モードに移ります。
• 縮退モードは時間経過では絶対に自動で開きません（クライアントはループバックのみ許可、サーバーは保守 SSH とホワイトリスト IP の管理経路のみ許可）。解除は、原因消滅の再確認、明示的な確認応答（サーバー: roamswitch server ack）、または手動の解除（GUI の解除ボタン / roamswitch emergency-restore）だけです。クライアントの縮退モードでは、airgap_degraded_lift_rfkill を true にしない限り Wi-Fi の rfkill も解除されません。
• 管理経路以外の確立済み接続は切断されます（サーバー: 保守 SSH ポートとホワイトリスト IP 以外。攻撃者がすでに張っている C2 やリバースシェルも遮断）。手動の Air-Gap は、警告なしのメニュー / GUI / roamswitch airgap enable なら低信頼度ですが、ARP スプーフィング警告の「今すぐ遮断」から発動した場合はその警告の信頼度（高）を引き継ぎ、ゲートウェイの MAC が信頼済みの MAC に連続して一致するかをネットワーク送信なしで再確認します（arp_recheck_consecutive 回・arp_recheck_min_secs 秒以上）。各遷移はインシデントタイムラインに記録されます。

ランサムウェア復旧(スナップショットとファイル単位の復元)

次のコマンドは roamswitch-ransomware-rollback のものです（roamswitch のサブコマンドではありません）。状態は /var/lib/roamswitch に保存されます。

実行例

sudo roamswitch status                 # クライアント総合診断 (27項目)
sudo roamswitch status --server        # サーバー版総合診断 (34項目)
sudo roamswitch ports -a               # 全リスニングポート
roamswitch guards                      # ガード稼働状態
roamswitch audit-url https://examp1e-login.com
roamswitch audit-secrets ./deploy.env
roamswitch audit-secrets .                          # カレントディレクトリを再帰スキャン
roamswitch audit-logs 72               # 直近 72 時間のログ分析
sudo roamswitch sharing on             # 未信頼ネットで SSH/Samba/RDP を自動停止
sudo roamswitch fim verify             # FIM ファイル整合性検証
sudo roamswitch fim update             # FIM ベースライン更新
sudo roamswitch emergency-restore      # 緊急遮断の全解除と復旧
sudo roamswitch airgap enable          # 緊急遮断
sudo roamswitch airgap disable         # 解除
sudo roamswitch server ack             # 緊急隔離を確認応答（FULL 隔離中は厳格な隔離を維持、縮退中は解除）
roamswitch canary                      # カナリアのインシデント履歴
roamswitch vuln-status                 # 直近のスキャン結果と経過日数(pass_age)を表示
roamswitch port-anomaly                # 未知ポート露出ガードのインシデント履歴
roamswitch server ebpf                 # eBPFガードの隔離状態とインシデント履歴
roamswitch server bans                 # SSH 総当たりガードの状態と、禁止中の接続元の一覧
sudo roamswitch server unban 203.0.113.9   # SSH 総当たりガードの禁止を解除（root が必要）
roamswitch notifications               # 直近1週間の通知履歴
roamswitch frozen                      # 凍結中プロセスの一覧
sudo roamswitch frozen resume 12345    # 誤検知だったプロセスを解除
sudo roamswitch sensor pair --addr 192.168.1.50 --code AB3DFGH2 --fingerprint 3F:45:89:E1:...:36:10  # ペアリングコードでSensorとペアリング
sudo roamswitch sensor key             # 自端末の公開鍵/アドレスを表示
roamswitch port-scan                   # ポートスキャン検知履歴
roamswitch timeline --json             # all incident-timeline records as JSON
roamswitch notifications --export n.jsonl   # JSON Lines
sudo roamswitch events search --since 2h --exe curl
sudo roamswitch forward status
sudo roamswitch server allowlist add "<rule>" mytool --exe /usr/local/bin/mytool
sudo roamswitch sensor repin <PUBLIC_KEY> --fingerprint <NEW_FINGERPRINT>
sudo roamswitch server tui

サーバー版daemonはroot権限で稼働するため、nftablesルールセットの読み取りやプロセス所有者の特定が必要なコマンド（status / status --server / ports -a）はsudoなしだと不正確な結果（誤った「未稼働」判定やプロセス情報の欠落）を返します。設定を変更するコマンド（sharing / fim update / airgap / emergency-restore等）も同様にsudoが必要です。それ以外の読み取り専用コマンドはsudoなしでも正確に動作します。

4. 設定ファイル

クライアント版 (~/.config/roamswitch/config.json)

デーモンは root で動作し、/home/*/.config/roamswitch/config.json を走査して最初に見つかったものを読みます（root しかいない場合は /root/.config/roamswitch/config.json）。

サーバー版 (/etc/roamswitch/server.conf)

サーバー版は INI 形式の設定ファイルを用い、パーミッション 0600（root 専用）で保護されます。全キーの型・取り得る値・既定値・再起動要否は サーバー版 運用マニュアル §18 にあります。roamswitch server config show|get|set で変更でき、roamswitch server tui の設定エディタ（server.conf と guard.yaml の全146キー）でも編集できます。サーバー版は設定のリロードに対応していないため、変更後は sudo roamswitch server restart で反映します。

共有マシン向け: 管理者のみモード

1台を複数人で使うマシンでは、sudo touch /etc/roamswitch/admin-only で「管理者のみ」モードにできます。ファイアウォール、DNS、VPN、USB、カーネルとマウントの強化、ラジオ、Sensor の信頼など、マシン全体に効く変更が、root か、sudo / wheel / roamswitch グループのユーザーに限られます。自分のファイルやプロセスに結びついた操作(隔離、kill、freeze、スキャン)は、これまでどおりです。/etc/roamswitch/admin-only は root 所有で、他のユーザーが書き込めない場合だけ有効です(ユーザー自身が作って切り替えることはできません)。既定はオフ(ファイルなし)です。

5. ログ・ランタイム状態ファイル

IPC ソケットを直接叩く（上級者向け）

デーモンは /run/roamswitch/roamswitch.sock（Unix ストリーム）で改行区切り JSON を受けます。

# プロファイルを強制切替（クライアント版）
printf '{"id":1,"method":"set_security_level","params":{"level":"lockdown"}}\n' \
  | sudo socat - UNIX-CONNECT:/run/roamswitch/roamswitch.sock

# ゲートウェイ ARP 固定を今すぐ照合
printf '{"id":1,"method":"reconcile_gateway_lock","params":null}\n' \
  | sudo socat - UNIX-CONNECT:/run/roamswitch/roamswitch.sock

6. プログラムからの状態取得（MCP）

roamswitch-mcp は stdio の JSON-RPC で読み取り専用ツールを提供します（get_security_report / verify_security_findings / get_exposed_ports / get_guard_status / audit_url_safety / audit_secrets / audit_security_logs / audit_mcp_configs / audit_agent_setup / get_app_help / get_quarantine_status / get_file_scan_guard_status / verify_fim / get_port_anomaly_incidents / get_ebpf_incidents / get_resource_guard_incidents / get_port_scan_incidents / get_ssh_guard_incidents / get_canary_status / get_vulnerability_scan_history / get_notification_history / search_exec_events / get_process_tree / get_incident_timeline / get_fleet_status / get_vpn_status / get_link_guard_status / get_air_gap_status / get_sharing_services_status / get_bluetooth_guard_status / get_usb_guard_status / run_active_vuln_scan / run_package_cve_scan / run_package_cve_scan_languages / run_package_lifecycle_script_scan / run_typosquat_scan / run_npm_audit_signatures / get_sensor_audit_results）。

外部のホストには接続せず、デーモンの Unix ソケットか roamswitch-core を直接呼びます。get_security_report と verify_security_findings は LAN にも何も送りません（ゲートウェイの確認は ARP キャッシュなどの参照だけです）。設定方法は MCP 連携設定ガイド を参照してください。

7. 自動化レシピ

cron で日次診断 → スコアが閾値未満ならメール通知

#!/usr/bin/env bash
# /etc/cron.daily/roamswitch-health
out=$(runuser -u "$SUDO_USER" -- roamswitch status 2>&1)
score=$(printf '%s\n' "$out" | grep -oE '[0-9]+/100' | head -1 | cut -d/ -f1)
if [ -n "$score" ] && [ "$score" -lt 80 ]; then
  printf '%s\n' "$out" | mail -s "RoamSwitch health: ${score}/100" root
fi

検知イベントを監視（alerts.json をポーリング）

#!/usr/bin/env bash
last=0
while :; do
  ts=$(jq -r 'max_by(.timestamp).timestamp // 0' /run/roamswitch/alerts.json 2>/dev/null || echo 0)
  if [ "$ts" -gt "$last" ]; then
    jq -c ".[] | select(.timestamp > $last)" /run/roamswitch/alerts.json | logger -t roamswitch-alert
    last=$ts
  fi
  sleep 10
done

state.json で「ガードが落ちていないか」を確認

jq -e '.fanotify_ready == true' /run/roamswitch/state.json >/dev/null \
  || echo "WARNING: fanotify guard is not running" >&2

8. トラブルシューティング

9. 関連ドキュメント

• RoamSwitch for Linux 製品トップ
• クライアント版 セキュリティ設計書（ホワイトペーパー）
• サーバー版 セキュリティ設計書（ホワイトペーパー）
• サーバー版 運用マニュアル
• AI アシスタント・MCP 連携設定ガイド
• よくある質問 (FAQ)