RoamSwitch for Linux 操作マニュアル
デスクトップ版(トレイアイコン+メインウィンドウ)のRoamSwitchについて、トレイメニューとメインウィンドウのすべてのタブを、実際の表示順どおりに一つひとつ解説します。GTKデスクトップ環境(GNOME/KDE/XFCEなど)を前提としています。ヘッドレスサーバーでの運用についてはサーバー版 運用マニュアルをご覧ください。
1. このマニュアルについて
RoamSwitch for Linuxは、デスクトップのシステムトレイ(通知領域)に常駐する🛡️アイコンのアプリです。トレイアイコンをクリックするとメニューが開き、そこからメインウィンドウを呼び出すと、より詳しい設定ができる画面が開きます。
多くの高度な機能にはProの印が付いています。これはRoamSwitch Proを購入(または試用)しないと有効化できない機能という意味です。印のない項目はすべて無料で利用できます。
2. トレイメニュー
トレイアイコンをクリックすると開くメニューです。上から順に説明します。
| 項目 | 説明 |
|---|---|
| ステータス表示行 | 現在の保護状態(例:「🔒 外出先保護 [レベル]」)を表示します。クリックするとメインウィンドウが開きます。 |
| 🚨 Air-Gapを解除して通信を復旧 条件付き表示 | 深刻な脅威検知によりネットワークが緊急隔離(Air-Gap)されているときだけ表示されます。安全を確認したうえで手動解除します。 |
| 📶 Wi-Fi / 有線接続の状態 | 接続中のネットワーク名とセキュリティ方式、または有線接続の状態を表示します(操作はできません)。 |
| 通信を復旧する 条件付き表示 | Wi-FiやBluetoothなど無線機能が保護のためブロックされているときだけ表示され、手動で復旧できます。 |
| Lockdown / Balanced / Open を今すぐ適用 | 現在のネットワークに、3段階のセキュリティレベルのいずれかをワンクリックで即座に適用します。Lockdownが最も厳しく、Openが最もゆるい設定です。 |
| 自動判定モードに戻す / 解除 | 手動で固定したレベルをやめ、ネットワークに応じた自動判定モードに戻します。 |
| 継続期間サブメニュー | 手動で適用したレベルをどれくらい維持するかを選びます。次回切断まで/1時間/2時間/4時間/今日中/解除するまで、の6段階です。 |
| DNSサブメニュー | DNS脅威保護のオン・オフと、Quad9・Cloudflare Security・AdGuard DNS・CleanBrowsingの4種類のセキュアDNSプロバイダーから選択できます。 |
| 復旧サブメニュー | 「ネットワークを緊急復旧」(通信できなくなったときの強制復旧)と「アンインストール」を行えます。 |
| ログイン時に自動起動 | OSにログインするたびにRoamSwitchを自動起動するかどうかのオン・オフです。常時保護のため、オンのままを推奨します。 |
| 言語サブメニュー | トレイメニューの表示言語を切り替えます。「システムに合わせる」のほか、日本語・English・简体中文・繁體中文・한국어・Français・Deutsch・Español・Italiano・Portuguêsの計10言語です。 |
| メインウィンドウを開く | 3章以降で解説する詳細設定画面を開きます。 |
| 終了 | RoamSwitchを終了します。終了中は自動保護が働きません。 |
操作手順
- 保護レベルを今すぐ切り替える: トレイアイコンをクリックし、Lockdown/Balanced/Openのいずれかをクリックします。続けて表示される継続期間の一覧(次回切断まで/1時間/2時間/4時間/今日中/解除するまで)から、維持したい期間をクリックすると適用されます。
- 自動判定に戻す: トレイアイコン→「自動判定モードに戻す」をクリックします。
- セキュアDNSプロバイダーを切り替える: トレイアイコン→DNSサブメニューにカーソルを合わせ、使用したいプロバイダーをクリックします。
- 通信できなくなった場合: トレイアイコン→復旧サブメニュー→「ネットワークを緊急復旧」をクリックします。
- 表示言語を変更する: トレイアイコン→言語サブメニューから使いたい言語をクリックします。
画面が小さい・DPIスケーリングが高い環境では、Lockdown/Balanced/Openの3項目が「保護レベル」という1つのサブメニューにまとめて表示されることがあります(表示内容は同じです)。
3. メインウィンドウの開き方
トレイメニューの「メインウィンドウを開く」、またはステータス表示行のクリックでメインウィンドウが開きます。macOS版のような「機能ごとに個別ウィンドウが開く」方式ではなく、左側のサイドバーから19個のタブ(セクション)を切り替える1つの大きなウィンドウにすべての設定がまとまっています。以降の章は、このサイドバーに並ぶ順番どおりに解説します。
4. 🌐 Network Management
サイドバーの一番上のタブです。今いるネットワークの登録や、登録済みネットワークの一覧管理を行います。
| カード | 説明 |
|---|---|
| 現在接続中のネットワーク | 今のネットワーク名と、この場所を「登録する」ボタンを表示します。既に登録済みの場合は現在のセキュリティレベルが表示されます。 |
| セキュリティポリシーを手動切替 | Mac版の「手動オーバーライド」と同じ機能です。自動判定を一時的に無視して、指定したレベルに固定します。 |
| 自動共有サービス制御 | 未信頼ネットワークにいる間、ファイル共有などのサービスを自動的に無効化する機能です。 |
| 登録済みネットワーク一覧 | これまでに登録したすべてのネットワークと、それぞれのセキュリティレベルを一覧・編集できます。 |
操作手順
- 現在のネットワークを登録する: 「現在接続中のネットワーク」カードの「登録する」ボタンをクリックし、名前とセキュリティレベルを選んで「保存」をクリックします。
- 登録済みネットワークを編集・削除する: 「登録済みネットワーク一覧」から対象の行を選び、鉛筆アイコンで編集、ごみ箱アイコンで削除します。
- 一時的にレベルを固定する: 「セキュリティポリシーを手動切替」カードでレベルと継続期間を選び、「適用」をクリックします。
5. 📊 Security Diagnostic Suite
Linux機のセキュリティ設定を採点する総合診断タブです。スコアとタイトルが上部に表示され、その下にチェック項目ごとの合否リストが並びます。Mac版の「Macセキュリティ総合診断」に相当します。定期的にこのタブを開き、赤色・黄色の項目が残っていないか確認する習慣をおすすめします。
操作手順 赤色・黄色で表示された項目の右側には対処ボタンが用意されています。クリックすると多くの場合その場で修正でき、スコアも自動的に更新されます。
6. 🚪 Ports & DevIsolator
すべてのタブの中で最も内容が多いタブです。開発サーバーのポート露出対策から、ARP異常検知、Sensorペアリング、脆弱性診断まで、ネットワーク境界に関する機能が集約されています。
| カード | 説明 |
|---|---|
| 公開ポート & 開発サーバー分離 | 外部からアクセス可能な状態で開いているポート(立ち上げっぱなしの開発サーバーなど)を一覧表示し、隔離・遮断を管理します。 |
| ポート・ARP異常の自動封じ込め | ARPスプーフィングや不審なポートスキャンを検知した際、自動的に通信を封じ込める設定です。 |
| ペア済みSensor一覧 | 別製品「RoamSwitch Sensor」と連携済みの機器を一覧表示します。 |
| ペアリングコードで手動ペアリング | Sensorが発行したペアリングコードを入力して、新しくSensorと連携します。 |
| Sensor診断結果 | 連携したSensorから届いた診断結果を確認します。 |
| 実証型脆弱性診断ステータス | 開いているポートに実際に到達確認を行った、脆弱性診断の結果状況を表示します。 |
操作手順
- 開発サーバーのポートを隔離する: 「公開ポート & 開発サーバー分離」カードの一覧から対象ポートを選び、「隔離」または「遮断」をクリックします。
- Sensorをペアリングする: 「ペアリングコードで手動ペアリング」カードの入力欄に、Sensor側で発行されたコードを入力し、「連携」をクリックします。
7. 🔌 USB & BadUSB Guard
| カード | 説明 |
|---|---|
| USB / BadUSB防御 | USBメモリに偽装しキーボードとして不正操作を行う「BadUSB」攻撃対策の、有効・無効を切り替えます。 |
| 接続中のUSB・HIDデバイス | 現在接続されているUSB・キーボード・マウス等のデバイスを一覧表示します。 |
| 許可済みUSBデバイス(ホワイトリスト) | 安全と確認済みのデバイスを登録しておくことで、それ以外の未知のデバイス接続だけを警告対象にできます。 |
操作手順
- 「USB / BadUSB防御」カードのスイッチをクリックして有効にします。
- 「接続中のUSB・HIDデバイス」の一覧から、今後も使う予定のデバイスを選んで「許可リストに追加」をクリックします。
8. 🦠 Malware & Quarantine
ClamAVによるウイルス対策と、Linux特有の低レイヤー防御(fanotify・エントロピー解析・YARA・ノーエグゼクト保護)をまとめたタブです。
| カード | 説明 |
|---|---|
| ClamAV定義データベース & エンジン状態 | ウイルス定義の最終更新日時とエンジンの稼働状況を確認します。 |
| Linux低レイヤー高度防御 | fanotify(ファイルアクセス時点でのリアルタイム検査)、エントロピー解析(ランサムウェアの暗号化挙動の検知)、YARAルール照合、実行不可属性の強制などをまとめて設定します。ランサムウェアらしい書き込みの急増を検知すると、該当プロセスを凍結し、通信も遮断（Air-Gap）します。 |
| ClamAVオンデマンドスキャン | 指定したフォルダを今すぐ手動でスキャンします。 |
| 隔離ボールト | マルウェアと判定され隔離されたファイルを、復元または完全削除できます。 |
| 監視対象フォルダ(Web・メール保護) | ダウンロードフォルダなど、新しいファイルが現れるたびに自動スキャンする対象を設定します。 |
| スキャン除外設定 | 開発用ディレクトリなど、スキャン対象から除外したいフォルダを指定します。 |
| 不審な自動起動の通知 | 新しく作られた、または書き換えられた自動起動の登録（systemd、cron、デスクトップの自動起動）を調べ、マルウェアの残り方に見えるものだけを通知します（既定でオン・通知のみ）。 |
操作手順
- 今すぐスキャンする: 「ClamAVオンデマンドスキャン」カードで対象フォルダを選び、「スキャン開始」をクリックします。
- 隔離ファイルを扱う: 「隔離ボールト」カードの一覧からファイルを選び、「復元」または「完全に削除」をクリックします。
- 監視対象フォルダを追加する: 「監視対象フォルダ」カードの「フォルダを追加」からダウンロードフォルダなどを選んで「保存」をクリックします。
9. 🛡️ DNS Threat Guard
フィッシングサイトやマルウェアの指令サーバー(C2)への名前解決を、DNSレベルでブロックする機能です。プロバイダー(Quad9など)をドロップダウンから選び、「適用範囲」でどのネットワークに適用するかを設定します。トレイメニュー(2章)のDNSサブメニューと連動しています。
操作手順 トグルをオンにしたあと、「セキュアDNSプロバイダー」のドロップダウンから使いたいプロバイダーを選び、「適用範囲」でどのネットワークに適用するかを選びます。
10. 🔒 VPN Tunnel Pro
未信頼ネットワークでの通信を暗号化するVPN機能です。ステータスカードで現在の接続状況を確認でき、設定カードで接続先(WireGuard設定のインポートなど)を管理します。Mac版の11.2節と同様の考え方で、信頼できないネットワークにいるときの通信盗聴・改ざん対策として使います。
操作手順
- 設定カードの「バックエンド」でWireGuardかTailscaleを選びます。
- WireGuardの場合は「設定ファイルをインポート」から
.confファイルを選択、Tailscaleの場合は「ログイン」からブラウザでアカウント認証を行います。 - 設定が終わったら「接続」をクリックします。ステータスカードが「接続中」に変わればVPNが有効です。
11. 🔑 Secret & API Key Audit
ホームディレクトリや設定ファイルの中に、うっかり平文で保存されたAPIキー・パスワード・トークンなどの機密情報が残っていないかスキャンする監査ツールです。開発者が意図せずリポジトリや設定ファイルに秘密情報を残してしまう事故の予防に役立ちます。
操作手順 「スキャン開始」をクリックすると監査が始まり、完了すると検出結果(ファイルパスと種類)が一覧表示されます。
12. 📜 Security Log Audit
RoamSwitchおよびLinuxシステムが記録したセキュリティ関連ログを監査・閲覧するタブです。過去に何が検知され、どう対応されたかを時系列で追跡できます。
13. 🔔 Notifications
直近7日間にRoamSwitchが表示した通知の履歴一覧です。トレイの通知を見逃してしまった場合でも、ここで後から確認できます。
14. 🕒 Incident Timeline
検知・対応・解除といったセキュリティイベントを時系列でまとめて振り返れる画面です(実験的機能)。個々のログを追うより、何が起きたかの全体像をつかみたいときに便利です。
15. 🔎 Security Activity Log
RoamSwitchがこれまでに検知・通知・対応してきた内容を、1つの画面で横断的に検索・可視化できるタブです。14章の「Incident Timeline」と13章の「Notifications」の中身を1つのビューに統合し、期間・カテゴリ・重要度・キーワードで絞り込めます。12章の「Security Log Audit」(journaldなどOS側のログを監査するタブ)とは別物で、こちらはRoamSwitch自身がすでに検知・通知・判断した内容を振り返るための画面です。
操作手順 期間・カテゴリ・重要度のドロップダウンとキーワード検索欄で絞り込んだあと、画面上部の棒グラフで特定の時間帯をクリックすると、そのタイムスロットのイベントだけに一覧を絞り込めます。絞り込みを解除するには「絞り込み解除」ボタンをクリックします。
16. 🔗 Link Safety Audit
リンク保護の設定と、URLを1件だけ貼り付けてその場でチェックできる手動確認ツールがまとまったタブです。Mac版の9.5節・9.6節に相当します。
操作手順 URLをその場でチェックするには、「手動チェック」カードの入力欄に確認したいURLを貼り付けて「チェック」をクリックします。数秒で安全性の判定が表示されます。
17. 📦 Package CVE Scan
OSのパッケージ管理システムから、開発用の言語別パッケージまで幅広くカバーする脆弱性・サプライチェーン対策タブです。
| カード | 説明 |
|---|---|
| OSパッケージCVEスキャン | dpkg/pacman/dnf/zypperなど、ディストリビューションのパッケージ管理システムに既知の脆弱性(CVE)がないか照合します。 |
| 開発依存関係CVEスキャン | npm・PyPI・crates.io・RubyGems・Packagist・Go・Mavenなど、開発プロジェクトの依存パッケージの脆弱性を照合します。 |
| 依存関係ロックファイル改ざん監視 Pro | package-lock.jsonなどのロックファイルが不正に書き換えられていないかを監視します。 |
| インストールスクリプト一覧 Pro | パッケージインストール時に実行されるスクリプトを一覧化し、不審な挙動がないか確認できるようにします。 |
| タイポスクワット検知 Pro | 正規パッケージ名に似せた偽パッケージ(タイポスクワッティング)をインストールしていないか検知します。 |
| npm署名・来歴検証(オプトイン) Pro | npmパッケージの署名・来歴情報を検証し、改ざんされていないことを確認する追加チェックです。 |
Ubuntu（20.04・22.04・24.04・26.04）では、OSパッケージCVEスキャンは Ubuntu 専用のデータで、ソースパッケージ名とソースの版を使って照合します。照合するのは、Ubuntu が修正版を公開済みの重大なCVE（CVSS 7.0以上）だけです。修正版が未公開のもの、評価前のもの、修正しないと決められたものは含みません。そのため「該当なし」は、既知のCVEが無いという意味ではありません。カーネルは、既存のカーネルCVEデータの担当で、この照合には含みません。修正が Ubuntu Pro（ESM）でしか入手できないものには、🔒の印と「この修正はUbuntu Pro(ESM)でのみ提供されます」という注記が付きます。Linux Mint や Pop!_OS などの派生と、対応していない版では、「このUbuntuはCVE照合の対象外です」と表示します。この場合も、誤検知を避けるため、Debian のデータには切り替えません。Ubuntu 用のデータは署名付きで、Ubuntu の端末にだけ配信されます（約 4 MB）。まだ入っていない端末は次の日次の更新で取得し、その後は約30日ごとに確認します。Debian、Arch、RHEL系、SUSE の照合は、これまでと変わりません。
操作手順
- 「OSパッケージCVEスキャン」または「開発依存関係CVEスキャン」カードの「スキャン開始」をクリックします。
- 完了すると該当する脆弱性の一覧が表示されます。各項目に、対処方法(アップデートコマンドなど)が添えられています。
18. 💎 Pro License
無料で含まれる機能の一覧、サーバー/VPS/クラウド/ベアメタルで運用する場合のビジネス向け情報、複数台をまとめて管理するFleetパネルへのアクセスがまとまっています。Pro版の認証もここから行います。
操作手順
- ライセンスキー入力欄にキーを貼り付け、「認証」をクリックします。
- まだキーを持っていない場合は、「購入する」から購入手続きに進めます。認証が成功すると、このタブとトレイメニューの表示が更新されます。
19. 🧰 Recovery & Uninstall
誤って通信が遮断されたままになった場合の緊急復旧と、アンインストールの導線がまとまったタブです(トレイメニューの「復旧」サブメニューと同じ機能に、詳しい説明が付いたものです)。
操作手順
- 通信が止まったときの緊急復旧: 「ネットワークを緊急復旧」ボタンをクリックし、確認ダイアログで「復旧」を選びます。
- アンインストールする場合: このタブの案内に従うか、ターミナルでお使いのパッケージ形式に応じたコマンド(例:
sudo apt purge roamswitch)を実行します。手順の詳細はアンインストールの手順を参照してください。
20. 📖 Help & Guide
アプリ内蔵のヘルプ画面です。基本的な使い方から個々の機能の補足説明までまとまっています。このWebマニュアルとあわせてご利用ください。
21. 🌐 Language
メインウィンドウの表示言語を設定します。トレイメニュー単独の言語設定(2章)と選択できる言語は同じです。
操作手順 ドロップダウンから使いたい言語を選ぶと、メインウィンドウの表示がその場で切り替わります。
22. ℹ️ About RoamSwitch
バージョン情報、一般設定、開発元情報、ライセンス、セキュリティポリシー、プライバシーポリシー、利用規約(EULA)、免責事項、商標・著作権表記など、アプリの基本情報と法的情報がまとまっています。サポートに問い合わせる際は、まずこのタブでバージョン番号を確認してください。
23. 🔄 Upgrade
アプリ本体の自動更新状況、パッケージの更新状態、脅威定義・詐欺サイトリストの更新状況を確認できるタブです。ディストリビューションのパッケージマネージャ経由でインストールした場合は、通常のシステム更新と合わせて自動的に最新化されます。
24. 🛟 ランサムウェア復旧(スナップショットとファイル単位の復元)
サイドバーの「ランサムウェア復旧」タブで、ホームディレクトリを対象に、被害前に自動で取得されたスナップショットから、必要なファイルやフォルダーだけを安全に取り出せます。現在のファイルは上書きされません。(標準のデスクトップ版では、Linux 1.11.21 以降です。)
スナップショットは3種類あります。「被害前(事前)」は、被害とは関係なく、一定の間隔(既定は6時間)で自動に取られます。「検知時」は、ランサムウェアらしい動きを検知したときに、必ず取られます。「手動」は、コマンドで自分で取ったものです。
取り出すときは、「★ 推奨」の印が付いた「被害前(事前)」のスナップショットを選んでください。 検知時: ⚠ 検知後に取得されたため、暗号化済みのファイルを含みます。暗号化前へ戻す用途には使えません(被害の保全と証拠用)。
取り出したファイルは、現在のファイルを上書きせず、別のフォルダ(既定は、対象フォルダの中の RoamSwitch-Recovered/スナップショットID/)に置かれます。
事前スナップショットは、既定で6時間ごとに自動で取られます(btrfs では4世代、LVM では2世代を保持)。間隔は、コマンド sudo roamswitch-ransomware-rollback config set --periodic-interval-secs <N> で変えられます(0 で無効、それ以外は300秒以上)。検知時のスナップショットを取ったあとは、暗号化済みの状態が最後の無傷の世代を押し出さないよう、事前のスナップショットを7日間止めます。検知時のスナップショットは、この設定に関係なく常に取得されます。
対象は、btrfs と LVM です。対象がない環境では、次のように表示されます。 スナップショット一覧を取得できませんでした(ランサムウェア・ロールバックが未インストール、または対象のbtrfs/LVMがありません)。
全体を戻す(上級者向け。コマンドだけ): sudo roamswitch-ransomware-rollback restore <ID> です。注意: 現在の状態が、選んだスナップショットの内容で上書きされます。まず「ファイルを取り出す」「フォルダーを取り出す」を試してください。検知時のスナップショットは、--accept-tampered を付けないと拒否されます。
コマンドからも使えます(roamswitch-ransomware-rollback)。くわしくは、CLI / ヘッドレス運用のページを見てください。
25. 🕸️ Webシェル・注入コードの検知(Web Rules)
PHP・JavaScript・JSP・ASP の Web シェル、注入された不正コード、画像に偽装した PHP、.htaccess の悪用を、専用のルールで見つけます。Web アプリを開発しているマシンでは、プロジェクトのフォルダーも対象です。特別な設定は要らず、ファイルが書き込まれたとき・開かれたときに、自動で検査されます。ルールは製品に同梱されていて、毎日の更新(受信専用)で新しくなります。(Linux 1.11.23 以降。)
検知すると、確認のダイアログ(「危険なファイルを検出」)が出ます。ファイルの名前と場所が表示され、ボタンは「後で」「許可(今後スキャンしない)」「隔離 Vault へ」の3つです。選ぶまで、ファイルには何もしません。「隔離 Vault へ」を選ぶと、ファイルは隔離庫へ移ります(「マルウェア & 隔離」タブで、あとから戻せます)。開発中のコードが警告されたときは、中身を確かめてから選んでください。「許可」を選ぶと、そのファイルは以降、検査の対象から外れます。
フォルダーをまとめて調べるには、コマンド roamswitch web-scan <フォルダー> を使います。既定は確認だけで、何も動かしません。結果には、重大度(CRITICAL / HIGH / MEDIUM)、ルール名、説明が出ます。終了コードは、該当なしが 0、重大・高ありが 2 です(CI などで使えます)。--json で JSON、--no-default-excludes で tests/・fixtures/・.git/ の下も含めます。これらの下は、テストのコードが同じ書き方をするため、既定では調べません。roamswitch web-rules で、ルールの版と状態を確かめられます。
上級者向けの設定です。独自のルールは /etc/roamswitch/rules.d/*.json に置きます(root 所有で、他人が書き込めないファイルだけを読みます。雛形は roamswitch web-rules example rules、検証は roamswitch web-rules validate <ファイル>)。検知のたびに自分のスクリプトを呼ぶには、/etc/roamswitch/hooks/post-detection に実行ファイルを置きます(検知の内容が JSON で標準入力に渡されます。雛形は roamswitch web-rules example hook)。隔離の水準などは /etc/roamswitch/web_rules.conf(roamswitch web-rules example conf)で決めます。
限界: 読むのは、書き込み・実行時はファイルの先頭 256 KB、スキャンは先頭 4 MB です。変数名の組み立て('ev'.'al')のような分割は追えません。既知マルウェアの個別署名は、実際の検体がないため同梱していません。誤検知の疑いがあるときは、「許可」を選ぶか、独自ルールで外してください。
26. 🤖 AIエージェント設定の監査
AI エージェント(Claude Code・Codex・Cursor・Gemini・OpenClaw など)に読ませる指示ファイルとスキル、そして OpenClaw の設定ファイルに、危険な記述がないかを調べる画面です。左のメニューで「🤖 AIエージェント設定の監査」を開き、「監査を実行」を押すと、読み取り専用で点検します。対象は、ホームフォルダーの ~/.claude(CLAUDE.md・commands・agents・skills)・~/.codex・~/.cursor/rules・~/.gemini・~/.agents・~/.openclaw と、「パッケージ CVE 照合」に登録したプロジェクトフォルダーの CLAUDE.md・AGENTS.md・.cursorrules などです。通信は一切せず、ファイルの本文や鍵・トークンの値は画面にも結果にも出しません。
見つけるものは、画面に見えない Unicode 文字に隠された指示、「以前の指示を無視して」「ユーザーには言わないで」といった文、ネットから取得してそのまま実行する記述(curl … | sh)、符号化した文字列を復号して実行する記述、秘密のファイル(SSH 鍵・クラウドの認証情報など)の参照とその近くにある外部への送信、スキルに入ったコンパイル済みコード、他人が書き込めるファイル、そして OpenClaw の認証無効・24 文字未満のトークン・全サイトを許可する設定・dangerously で始まる危険スイッチです。HTML コメント(Markdown を表示すると見えなくなる部分)の中にあるものは、重く扱います。
結果は「重大度: 高」と「中」に分かれ、それぞれにファイルの場所・行番号・理由が出ます。一致は「人が読んで確認する箇所」であり、悪意の断定ではありません。たとえば、攻撃を解説する文書や、注意喚起のための例文が一致することがあります。読めなかったファイルは別に並べ、「指摘なし」とは言いません。コマンドでは roamswitch audit-agent-setup [フォルダー…] [--json] です。AI アシスタントからは MCP ツール audit_agent_setup で同じ結果を取得できます。
27. 🔐 SSH 総当たりの遮断と、侵入経路の通知(画面なし)
この端末で SSH（sshd）が動いているときだけ、SSH へのログイン失敗を見張り、短時間に失敗を重ねた接続元の新しい接続を遮断します。その接続元がすでに SSH に張っていた接続も切りますが、認証済みのセッションと、除外リストに書いた接続元は切りません。sshd が動いていない端末では、何も読まず、何も変えません。設定の画面はありません。~/.config/roamswitch/config.json の ssh_guard_*（10 個のキー。CLI / ヘッドレス運用の設定の表を参照）で変えます。通知はデスクトップ通知で、履歴にも残ります。
遮断している接続元の一覧は sudo roamswitch bans、解除は sudo roamswitch unban <IP>（すべて解除するときは --all）です。クライアントの既定の防御レベルでは、受信が閉じていて、SSH に接続が届かないことがあります。そのときは、遮断が働く場面も少なくなります。fail2ban か CrowdSec が sshd を守っているときは、RoamSwitch は遮断を譲り、検知と通知だけを行います。
重要ファイルの改ざんを知らせる通知（FIM）には、変更したプロセスと、そのプロセスが属する SSH ログイン（接続元・時刻・認証方法）が添えられます。認証情報ファイルへのアクセスの通知には、SSH ログインに属するときだけ添えられます。調べられなかったときは「ログインの経路は調べられませんでした」と書き、ログインではないとは書きません。止めるには、config.json に "fim_intrusion_context_enabled": false を書きます。