功能一览
按保护对象，汇总 RoamSwitch 检测什么、如何拦截、控制什么。
勒索软件 4
发现并阻止加密行为，并提供恢复到受害前状态的手段。
| 功能 | 作用 | 动作 | 默认 | 产品 |
|---|---|---|---|---|
| 批量加密检测 T1486 | 监控写入操作，当加密内容的文件在短时间内增多时，阻断通信以防止损害扩大。 | 动作检测 隔离 | 默认Pro 版开启 自动处置 | 产品Mac Linux |
| 诱饵文件检测 T1486 | 在重要文件夹中放置诱饵文件，检测并通知篡改、删除和加密。Mac 上还会自动阻断通信。 | 动作检测 隔离 | 默认Pro 版开启 仅通知 | 产品Mac Linux Linux Server |
| 恢复受害前的文件 | 可从定期创建的快照中逐个取出受害前的文件。 | 动作控制 记录 | 默认开启 手动处置 | 产品Mac Linux |
| 备份时效性诊断 | 诊断最近一次备份是否足够新，过旧时发出通知。 | 动作审计 | 默认开启 仅通知 | 产品Mac Linux Linux Server |
凭据窃取 5
在密码、密钥和令牌被读取的那一刻，发现窃取行为。
| 功能 | 作用 | 动作 | 默认 | 产品 |
|---|---|---|---|---|
| 凭据诱饵 T1552.001 | 在主目录放置诱饵凭据（AWS、SSH 密钥、Docker 等），被读取的瞬间立即通知，并在通知中附上读取的程序、命令和父进程。不会覆盖真实文件。 | 动作检测 | 默认Pro 版开启 仅通知 | 产品Mac Linux Linux Server |
| 凭据文件读取监控 T1552.001 | 当意料之外的程序打开 SSH 私钥、AWS／gcloud 凭据、浏览器保存的密码、AI 代理的登录信息等文件时发出通知。 | 动作检测 | 默认开启 仅通知 | 产品Linux |
| 浏览器存储信息监控 T1555.003 | 当浏览器以外的程序打开 Chrome、Firefox 等保存的密码和 Cookie 文件时发出通知。 | 动作检测 | 默认手动开启 仅通知 | 产品Mac |
| API 密钥和私钥检测 T1204.004 | 从文本、文件、文件夹和剪贴板中找出 API 密钥和私钥，结果以掩码方式显示。 | 动作审计 | 默认开启 手动处置 | 产品Mac Linux Linux Server |
| AI 代理登录信息诊断 T1552.001 | 检查 Claude Code、Codex 等保存登录信息的文件的权限、所有者，以及是否位于同步文件夹或 git 管理之下。不会读取文件内容。 | 动作审计 | 默认开启 仅通知 | 产品Mac |
可疑执行与恶意软件 10
发现攻击者运行的程序和命令的执行链，并检查下载的文件。
| 功能 | 作用 | 动作 | 默认 | 产品 |
|---|---|---|---|---|
| 进程执行记录与攻击手法检测 T1059.004 T1027 T1105 T1553.001 | 以防篡改方式记录运行的程序、参数和父子关系。对浏览器启动 shell、下载后执行、混淆执行、刚移除隔离属性就执行等行为链发出通知。敏感信息会被掩码。 | 动作检测 记录 | 默认手动开启 仅通知 | 产品Mac Linux Linux Server |
| 导入 Sigma 规则 | 放入自己的 Sigma 规则（进程创建），即可应用于执行记录并加入检测。无法加载的规则会连同原因列在清单中。 | 动作检测 | 默认手动开启 仅通知 | 产品Mac Linux Linux Server |
| 反向 Shell 检测 T1059.004 | 发现 shell 或解释器的输入输出被接到外部连接上的状态并发出通知，同时检测命令的特征形态。 | 动作检测 | 默认Pro 版开启 仅通知 | 产品Mac Linux Linux Server |
| 下载后即时恶意软件检查 T1204.002 T1027 | 自动检查下载的文件，并隔离发现的恶意文件。已隔离的文件可以恢复，也可以彻底删除。 | 动作检测 拦截 | 默认开启 自动处置 | 产品Mac Linux |
| 文件内容特征匹配 | 将下载文件的内容与已知特征进行匹配。在 Linux 上，文件写入时也会进行。 | 动作检测 | 默认开启 仅通知 | 产品Mac Linux Linux Server |
| 与 Apple 恶意软件检测联动 | XProtect 实际检测到恶意软件的瞬间，立即阻断通信。 | 动作隔离 | 默认Pro 版开启 自动处置 | 产品Mac |
| ClickFix 检测 T1204.004 | 通过伪造的确认页面诱使用户自己粘贴命令的攻击，会从 shell 历史记录和剪贴板中发现。 | 动作检测 拦截 | 默认手动开启 自动处置 | 产品Mac Linux |
| 危险执行的事前拦截 | 在执行的时刻判定威胁，对真正的威胁拒绝执行。 | 动作拦截 | 默认开启 自动处置 | 产品Linux |
| 内核层入侵检测与自主隔离 T1562.006 | 从内核事件中捕获反向 shell、提权和恶意二进制的执行。数毫秒内即可冻结或终止进程，并隔离主机。 | 动作检测 隔离 | 默认开启 自动处置 | 产品Linux Server |
| Web 服务器 worker 异常退出检测 | 从错误日志中发现 nginx 和 Apache 的 worker 在短时间内反复异常退出，并发出通知。 | 动作检测 | 默认Pro 版开启 仅通知 | 产品Mac Linux Server |
驻留与篡改 7
发现攻击者在重启后仍然驻留的手法，以及对重要文件的改写。
| 功能 | 作用 | 动作 | 默认 | 产品 |
|---|---|---|---|---|
| 自启动项注册监控 T1543.001 T1543.002 T1053.003 T1546.004 | 对新的自启动项注册或改写，以及 shell 启动文件等中出现的可疑行发出通知。能发现反向 shell 和下载后直接执行的写法。 | 动作检测 | 默认开启 仅通知 | 产品Mac Linux |
| 关键系统文件篡改监控 T1098.004 T1548.003 | 记录 sudoers、PAM、sshd 配置、root 的 authorized_keys 等只有 root 才能改写的文件的哈希，并通知变更、新增和删除。在 Server 上还会附上修改者的进程及其登录信息。 | 动作检测 记录 | 默认Pro 版开启 仅通知 | 产品Mac Linux Server |
| 锁文件篡改监控 T1195.001 | 记录已登记项目的 package-lock.json 等文件，在有人确认变更之前持续通知。 | 动作检测 | 默认Pro 版开启 仅通知 | 产品Mac |
| SUID/SGID 变更监控 T1548.001 | 通知 setuid、setgid 文件的新增和变更。 | 动作检测 | 默认开启 仅通知 | 产品Linux Server |
| 日志清除监控 T1070.002 | 通知认证日志等被清空或截断。 | 动作检测 | 默认开启 仅通知 | 产品Linux Server |
| 内核加固 T1055 | 通过限制 ptrace、为 /tmp 和 /dev/shm 设置 noexec、限制非特权用户命名空间等措施，减少提权和执行的立足点。 | 动作拦截 | 默认开启 | 产品Linux Linux Server |
| 可被用于提权的内核模块检查 | 检查 Copy Fail、Dirty Frag 等曾成为本地提权途径的模块是否处于可加载状态。未使用的模块可以禁止加载。 | 动作审计 控制 | 默认手动运行 手动处置 | 产品Linux Linux Server |
网络防御 18
根据所连接的网络切换防护，阻止可疑连接和对外暴露。
| 功能 | 作用 | 动作 | 默认 | 产品 |
|---|---|---|---|---|
| 按连接网络切换保护级别 | 自动识别家庭、办公室、公共 Wi-Fi 等网络，并切换防火墙和共享服务的设置，也可以手动覆盖。 | 动作控制 拦截 | 默认开启 自动处置 | 产品Mac Linux |
| 共享服务自动停止与恢复 | 在不受信任的网络中停止 SSH、屏幕共享、文件共享等服务，回到安全网络后恢复原状。 | 动作控制 拦截 | 默认开启 自动处置 | 产品Mac Linux |
| 对外开放端口审计 | 发现对外开放的端口，并判定其中的危险服务和本地 AI 推理服务器。 | 动作审计 | 默认开启 仅通知 | 产品Mac Linux Linux Server |
| 未知端口暴露的自动阻断 T1562.004 | 此前未出现过的程序一对外开放端口就立即阻断。即使没有特征码，也能应对新的后门。 | 动作检测 拦截 | 默认Pro 版开启 自动处置 | 产品Mac Linux |
| 阻断开发服务器的对外暴露 | 将监听所有接口的开发服务器和本地 AI 服务器与外部 LAN 隔开，仍可通过 localhost 使用。 | 动作拦截 | 默认Pro 版开启 自动处置 | 产品Mac Linux |
| 外部端口扫描的检测与阻断 T1046 | 发现在短时间内连接大量端口的来源并阻断一段时间。不会阻断网关、DNS 和本机地址。 | 动作检测 拦截 | 默认Pro 版开启 自动处置 | 产品Mac Linux Linux Server |
| ARP 欺骗的检测与自动阻断 T1557.002 | 发现网关 MAC 地址的可疑变化并紧急阻断通信。在不受信任的 Wi-Fi 上会固定网关的 ARP。 | 动作检测 隔离 | 默认Pro 版开启 自动处置 | 产品Mac Linux |
| Wi-Fi 安全性诊断 | 连接到无加密或弱加密的 Wi-Fi 时发出警告。与以前见过的网络名称相似的首次出现的名称，会作为伪造接入点发出警告。 | 动作检测 审计 | 默认开启 仅通知 | 产品Mac Linux |
| 网络配置变化监控 T1557.003 | 将网络下发的 DNS 服务器、路由器和代理自动配置（PAC、WPAD）与上次比较，出现从未见过的值时发出通知，可作为发现伪造 DHCP 服务器的线索。 | 动作检测 | 默认Pro 版开启 仅通知 | 产品Mac Linux |
| DNS 威胁防护 | 在 DNS 阶段阻断对 C2 服务器和钓鱼网站的域名解析。回到可信网络后恢复原状。 | 动作拦截 | 默认开启 自动处置 | 产品Mac Linux |
| 链接防护 T1566.002 T1071.004 | 根据通信的目的地发现通往钓鱼和诈骗网站的连接，并予以阻断或警告。对使用 DoH 的浏览器同样有效。 | 动作检测 拦截 | 默认开启 自动处置 | 产品Mac Linux |
| URL 安全性诊断 | 在设备本地完成短链接展开、重定向跟踪，以及对形近字符、假冒品牌域名和危险域名的判定。 | 动作审计 | 默认手动运行 手动处置 | 产品Mac Linux |
| 不受信任网络中的 VPN 与 Kill Switch | 在不受信任的网络中自动连接 VPN，并阻断隧道之外的流量泄漏。可选择 WireGuard 或 Tailscale。 | 动作控制 拦截 | 默认手动开启 自动处置 | 产品Mac Linux |
| Air-Gap（紧急全面阻断） | 立即阻断所有对外通信，并把解除步骤显示在最前面。检测触发的自动阻断也使用它。 | 动作隔离 | 默认手动运行 手动处置 | 产品Mac Linux |
| Air-Gap 期间停用 Wi-Fi | 通过 Air-Gap 阻断时，同时关闭 Wi-Fi 无线电。 | 动作隔离 | 默认开启 自动处置 | 产品Mac |
| 入站默认拒绝与防止 SSH 被锁在门外 | 默认拒绝入站连接，但不会切断当前正在使用的管理用 SSH。 | 动作拦截 | 默认开启 自动处置 | 产品Linux Server |
| 阻断发往恶意 IP 的出站通信 | 阻断发往已知恶意 IP 和 C2 IP 的出站通信。还可将 DNS 指向带过滤功能的提供商。 | 动作拦截 | 默认开启 自动处置 | 产品Linux Server |
| DNS 隧道检测 T1071.004 | 发现利用 DNS 外泄数据或 C2 的迹象并发出通知。 | 动作检测 | 默认开启 仅通知 | 产品Linux Server |
Web 与邮件 4
发现放在网站上的恶意代码，以及针对 Web 服务器的攻击。
| 功能 | 作用 | 动作 | 默认 | 产品 |
|---|---|---|---|---|
| Web Shell 与恶意代码检测 T1505.003 | 从写入公开目录的文件中发现 Web Shell 和经过混淆的注入代码，严重的默认会被隔离。公开目录会根据 Apache、nginx、Caddy 的配置以及 Docker 挂载自动发现。 | 动作检测 拦截 | 默认Pro 版开启 自动处置 | 产品Mac Linux Server |
| 标识符暴力枚举检测（Web 访问守卫） | 从访问日志中发现依次替换受理编号、订单编号进行查询的行为，分散到大量 IP 的攻击也在检测范围内。设置后可阻断相关来源。 | 动作检测 拦截 | 默认手动开启 仅通知 | 产品Linux Server |
| Web Gate | 与 nginx 联动，仅对接收编号的位置，按位置设定查询配额进行保护，抑制不断更换 IP 的攻击。 | 动作拦截 | 默认手动开启 自动处置 | 产品Linux Server |
| 文件扫描守卫 | 用 YARA 和 ClamAV 检查邮件中继、共享文件夹等位置的文件，并将恶意文件隔离。 | 动作检测 拦截 | 默认手动开启 自动处置 | 产品Linux Server |
容器与服务器 6
发现容器的危险启动方式，以及服务器特有的攻击迹象。
| 功能 | 作用 | 动作 | 默认 | 产品 |
|---|---|---|---|---|
| 容器危险启动检测 T1610 | 通知以特权模式启动或挂载了 docker.sock 的容器，同时监控容器内的执行。 | 动作检测 | 默认手动开启 仅通知 | 产品Mac Linux Server |
| 防止 Docker 绕过防火墙 | 防止 Docker 绕过默认拒绝规则，把本不打算公开的端口暴露出去。 | 动作拦截 | 默认开启 自动处置 | 产品Linux Server |
| 资源耗尽与崩溃检测 | 发现对外公开服务的内存持续增长（泄漏或 DoS）以及反复崩溃，并发出通知。 | 动作检测 | 默认开启 仅通知 | 产品Linux Server |
| 云元数据访问监控 T1552.005 | 当 root 以外的程序或容器连接 169.254.169.254 等元数据 API 时发出通知，捕捉 SSRF 的最后一步。 | 动作检测 | 默认开启 仅通知 | 产品Linux Server |
| AI 代理专用账户保护 | 以专用账户运行代理时，将出站通信限制在允许列表内，放置诱饵凭据，并将指令文件的改写与 root 所有的基线进行比对。 | 动作控制 检测 | 默认手动开启 仅通知 | 产品Linux Server |
| 指定遏制不会终止的进程 | 除内置列表外，还可以追加自动遏制不会终止的进程。只有位于系统目录中的可执行文件才有效。 | 动作控制 | 默认— | 产品Linux Server |
供应链 7
在引入前后发现通过库和开发环境发起的入侵。
| 功能 | 作用 | 动作 | 默认 | 产品 |
|---|---|---|---|---|
| 软件包已知漏洞比对 | 将已安装的软件包和项目的锁文件与设备本地的漏洞数据比对，不进行任何通信。对有被利用概率（EPSS）的 CVE，按概率从高到低排序。 | 动作审计 | 默认手动运行 手动处置 | 产品Mac Linux Linux Server |
| 漏洞风险接受 | 对不受影响的 CVE，可附上理由和期限予以接受。期限到期后恢复为正常检出。 | 动作控制 记录 | 默认手动运行 手动处置 | 产品Mac Linux |
| 安装时运行代码的检查 T1195.001 | 列出安装时运行的脚本。相对于已确认的状态，若出现脚本的新增或变更、已编译代码的新增，就会通知。 | 动作审计 | 默认手动运行 手动处置 | 产品Mac Linux |
| 依赖来源检查 | 指出 pip 的 extra-index-url、未固定注册表的 npm 作用域等可能引发依赖混淆攻击的配置。 | 动作审计 | 默认手动运行 手动处置 | 产品Mac |
| 相似名称软件包判定 | 用编辑距离判定依赖名称是否与知名软件包过于相似。 | 动作审计 | 默认手动运行 手动处置 | 产品Mac Linux |
| npm 软件包签名验证 | 通过 npm 注册表验证已安装软件包的签名和来源证明。 | 动作审计 | 默认手动开启 手动处置 | 产品Mac Linux Server |
| 内核漏洞比对 | 将正在运行的内核版本与已知漏洞比对，并列入诊断结果。 | 动作审计 | 默认开启 仅通知 | 产品Linux Linux Server |
AI 代理与 MCP 6
保护 AI 代理的配置，以及交给 AI 的信息的安全。
| 功能 | 作用 | 动作 | 默认 | 产品 |
|---|---|---|---|---|
| AI 代理配置审计 | 检查指令文件、技能和配置文件，指出不可见字符、指令覆盖、下载后直接执行的写法、向外发送机密文件等问题。相对于已批准的状态发生变化时会通知，结果也可以 SARIF 格式导出。 | 动作审计 检测 | 默认手动运行 仅通知 | 产品Mac Linux Linux Server |
| MCP 配置检查 | 指出 Claude Desktop、Claude Code、Cursor 等的 MCP 配置中的自动批准、明文 http、单行命令启动、特权容器等危险写法。 | 动作审计 | 默认手动运行 手动处置 | 产品Mac Linux |
| AI 指令混入警告 | 当软件包脚本、日志、Wi-Fi 名称、命令行等来自外部的字符串中混入了针对 AI 的指令时，会在结果末尾发出警告，只显示发现的类型和数量。 | 动作检测 | 默认开启 仅通知 | 产品Mac Linux Linux Server |
| 供 AI 助手查询状态的 MCP 服务器 | Claude 等可以读取诊断和检测的状态。没有修改设置的工具，也不进行任何通信。 | 动作报告 | 默认开启 | 产品Mac Linux Linux Server |
| 检测范围自检 | 按 ATT&CK 手法逐项列出能否检测、哪些范围看不到、负责的功能当前是否在运行，也可以导出为 ATT&CK Navigator 图层。 | 动作报告 审计 | 默认开启 | 产品Mac Linux Linux Server |
| 本地 AI 运行环境识别 | 带可信度地判定对外开放的端口是否属于 Ollama、vLLM、LiteLLM 等本地 AI 运行环境。 | 动作审计 | 默认开启 仅通知 | 产品Mac Linux |
外围设备 3
在连接的那一刻阻止利用 USB 和 Bluetooth 的入侵。
| 功能 | 作用 | 动作 | 默认 | 产品 |
|---|---|---|---|---|
| USB 存储设备管控 T1091 | 未获允许的 USB 存储设备会以只读方式连接，或暂缓连接并待确认。即使是已允许的设备，连接后也先设为只读，扫描完成后再恢复权限。 | 动作拦截 控制 | 默认手动开启 手动处置 | 产品Mac Linux |
| BadUSB 防护 T1200 | 在获得批准之前，阻止未经批准的键盘和被改造的 USB 线缆的输入。击键间隔异常也作为辅助线索。 | 动作拦截 | 默认手动开启 手动处置 | 产品Mac Linux |
| Bluetooth 管控与检查 | 在不受信任的网络中让 Bluetooth 处于不可被发现的状态，同时检查是否允许未配对设备接入。 | 动作控制 审计 | 默认手动开启 自动处置 | 产品Mac Linux |
诊断与漏洞 5
发现配置中的薄弱环节，以及实际可以触达的漏洞。
| 功能 | 作用 | 动作 | 默认 | 产品 |
|---|---|---|---|---|
| 安全综合诊断 | 诊断磁盘加密、防火墙、操作系统更新、SSH、对外端口、浏览器防护等大量项目，给出分数和修复方法，并可重新确认已诊断的问题是否仍然存在。 | 动作审计 报告 | 默认开启 仅通知 | 产品Mac Linux Linux Server |
| 实证型漏洞诊断 | 仅针对本机的 127.0.0.1，以非破坏性方式验证无认证暴露、CORS 配置错误、路径遍历等问题。每次验证都会标明会留下什么以及证据的强度。 | 动作审计 | 默认手动开启 手动处置 | 产品Mac Linux |
| LLMNR/NBNS 响应诊断 T1557.001 | 检查本机是否参与了同一网络中任何人都能应答的名称解析。 | 动作审计 | 默认开启 仅通知 | 产品Linux Linux Server |
| 提权路径分析 | 从 docker 组、SUID、可被改写的服务可执行文件、免密码的 sudo、cron、macOS 的隐私授权等入手，用图和清单展示通往 root 或敏感数据的路径，还可以假设修复后重新分析路径。 | 动作审计 | 默认手动运行 手动处置 | 产品PathScope |
| 从 LAN 外侧发起的漏洞审计 | 从放在 LAN 中的专用节点，以非破坏性方式检查已配对设备的对外端口和存在漏洞的服务。可以了解主机自身诊断看不到的、来自同一 LAN 中其他设备的视角。 | 动作审计 | 默认手动运行 手动处置 | 产品Sensor |
日志分析与调查 22
从日志和 LAN 信息中，连同依据一起发现攻击尝试。
| 功能 | 作用 | 动作 | 默认 | 产品 |
|---|---|---|---|---|
| 安全日志审计 | 从日志中汇总 sudo 失败、SSH、Gatekeeper 拦截、认证等事件。把首次出现的日志类型和频率的骤增视为异常。敏感信息会被掩码。 | 动作检测 审计 | 默认Pro 版开启 仅通知 | 产品Mac Linux Linux Server |
| 访问日志诊断（AccessScope） | 从 Web 服务器和 SSH 日志中发现攻击尝试，并附上依据所在的行。自动查找日志，并展示跨多个日志的攻击链以及与平时的差异。未能读取的范围会写入报告。 | 动作检测 报告 | 默认手动运行 | 产品AccessScope |
| 一键查看现状（PersonalSOC） | 以只读方式检查 SSH 认证、auditd、Web、DNS、macOS 统一日志，以及 MCP 配置和 RoamSwitch 的检测历史，汇总成仪表板和附带 IOC 的报告。 | 动作报告 审计 | 默认手动运行 | 产品PersonalSOC |
| LLM 自主调查（PersonalSOC，可选） | 启用后，LLM 只使用被允许的只读工具进行调查并撰写报告，不会交出 shell 或文件。LLM 写出的值中，不在所收集材料内的，会标示为可能是编造的内容。 | 动作报告 | 默认手动开启 | 产品PersonalSOC |
| 定期运行（PersonalSOC，可选） | 以用户权限注册定期运行，仅在出现上次没有的检出时通知数量。 | 动作报告 | 默认手动开启 仅通知 | 产品PersonalSOC |
| 处置要点与修复方案（PathScope） | 按优先级列出先修复效果最大的位置，并附上修复命令示例和对应的 ATT&CK 手法。命令不会自动执行。 | 动作报告 | 默认手动运行 | 产品PathScope |
| 已安装软件的已知漏洞比对（PathScope） | 将已安装软件的版本与内置的已知漏洞数据（CISA KEV 等）比对。存在公开攻击模块的会明确标出。 | 动作审计 | 默认手动运行 | 产品PathScope |
| 与历史比较及持续检查（PathScope） | 把分析结果作为历史保存在设备本地，并与上次比较差异。路径增加时以退出码 1 通知，因此也可用于定期运行。 | 动作记录 报告 | 默认手动运行 | 产品PathScope |
| LLM 解说与配置解读（PathScope，可选） | 可以让 LLM 解说分析结果，并解读 sudoers、cron 等难以阅读的配置。不会发送私钥和 API 密钥的值。解说中的值若不在材料中，会标示为可能是编造的内容。 | 动作报告 | 默认手动开启 | 产品PathScope |
| 缩小需查看的数量（AccessScope） | 自家 IP 等可附上理由予以排除，并与上次诊断比较，只通知新的检测结果。 | 动作控制 | 默认手动运行 | 产品AccessScope |
| 导出结果（AccessScope） | 报告可导出为 Markdown、JSON、SARIF、CSV，也可导出已检测到的 IP 的阻断列表。只负责导出，不会执行阻断。 | 动作报告 | 默认手动运行 | 产品AccessScope |
| LLM 分析（AccessScope，可选） | 启用后，会把摘要和依据行交给 LLM 撰写报告，机密信息以掩码处理。LLM 写出的值中，不在所提供材料内的，会标示为可能是编造的内容。 | 动作报告 | 默认手动开启 | 产品AccessScope |
| LAN 可疑通信检测（Sensor，被动捕获） | 通过镜像端口等被动捕获，把对已知恶意 IP 或管理端口的连接、僵尸网络化的迹象、DNS 隧道作为参考信息展示。不会阻断通信。 | 动作检测 | 默认手动开启 仅通知 | 产品Sensor |
| 定期审计与上次差异（Sensor） | 定期审计已配对的设备，展示新的检出、已解决的问题和新开放的端口。 | 动作审计 报告 | 默认手动开启 仅通知 | 产品Sensor |
| 审计报告与通知（Sensor） | 审计结果、设备台账和操作日志可导出为 CSV、JSON、HTML。新设备或 ARP 欺骗等事件可通过 Webhook 和 syslog 通知。操作日志具备防篡改检测。 | 动作报告 记录 | 默认手动开启 仅通知 | 产品Sensor |
| LAN 设备台账与 ARP 监控 | 梳理 LAN 上的设备并建立台账，对新设备以及已知 IP 对应 MAC 的变化（ARP 欺骗）发出通知。 | 动作检测 记录 | 默认开启 仅通知 | 产品Sensor |
| 非法 DHCP 服务器与 IPv6 路由器检测 | 用随机 MAC 只发送一个探测数据包，统计应答的 DHCP 服务器和 IPv6 路由器。对后来新增的服务器，以及下发与正规不同网关的服务器发出通知。 | 动作检测 | 默认开启 仅通知 | 产品Sensor |
| 学习各设备的日常行为 | 学习各设备的通信习惯，并在出现与平时不同的行为时通知。 | 动作检测 | 默认开启 仅通知 | 产品Sensor |
| 未部署设备的轻量审计 | 对打印机、摄像头等未配对的设备，仅限于获准的范围，只通过连接确认和读取服务标识进行检查。 | 动作审计 | 默认手动开启 手动处置 | 产品Sensor |
| 事件时间线 | 把遏制和检测的记录汇总成一条时间线，并附上进程谱系和 ATT&CK 标签。 | 动作报告 记录 | 默认开启 | 产品Mac Linux |
| 已连接 USB 设备列表 | 列出当前连接的外部 USB 设备。 | 动作审计 | 默认开启 | 产品Mac |
| 启动初期保护（实验性） | 从启动的早期阶段起，在准备就绪之前，阻止 ARP 和 DHCP 客户端以外的通信。 | 动作拦截 | 默认手动开启 自动处置 | 产品Linux Linux Server |
证据、通知与运维 14
留存检测证据，通知需要知道的人，并融入日常运维。
| 功能 | 作用 | 动作 | 默认 | 产品 |
|---|---|---|---|---|
| 自我监控与自动重启 T1562.001 | RoamSwitch 自身异常退出时，会自动重启并通知。 | 动作控制 检测 | 默认开启 自动处置 | 产品Mac Linux |
| 带签名的威胁数据自动更新 | 验证签名后接收威胁情报源、漏洞数据和规则，不会发送设备信息。 | 动作控制 | 默认开启 | 产品Mac Linux Linux Server |
| 可还原设置的卸载 | 删除之前，先把网络设置恢复原状，并清除诱饵文件和新增的设置。 | 动作控制 | 默认手动运行 手动处置 | 产品Mac Linux Linux Server |
| 组织集中管理（Fleet） | 把设备登记到组织，接收并应用带签名的策略。在设备端可以查看登记和策略的状态。 | 动作控制 报告 | 默认手动开启 | 产品Linux Linux Server |
| 定期自主巡检 | 在后台定期执行综合诊断。 | 动作审计 | 默认开启 仅通知 | 产品Mac |
| 遏制时自动取证 | 遏制开始时，自动收集当时的证据。可通过各文件的 SHA-256 确认完整性。 | 动作记录 | 默认开启 自动处置 | 产品Mac Linux |
| 通知历史 | 可以连同起因的程序、命令和路径一起查看最近的通知。无法确定起因时，会如实注明。 | 动作记录 报告 | 默认开启 | 产品Mac Linux Linux Server |
| 紧急通知（Telegram、LINE、Webhook） | 把重大检测结果发送到 Telegram、LINE、Webhook。Slack、Discord、Teams 可通过传入 Webhook URL 使用。 | 动作报告 | 默认手动开启 仅通知 | 产品Linux Server |
| 事件转发（SIEM、syslog、Webhook） | 把检测和通知转发到指定的 syslog、JSON Lines 文件或带签名的 Webhook，未能发送的部分会重新发送。 | 动作报告 | 默认手动开启 | 产品Mac Linux Server |
| 带防篡改检测的记录 | 用哈希把执行记录串联起来，以便事后验证。对正在写入的区段，也每隔一定间隔设置检查点。 | 动作记录 | 默认开启 | 产品Mac Linux Linux Server |
| 在终端中操作全部功能 | Server Edition 的全部功能，都可通过 SSH 在 80x24 的界面中仅用键盘操作。设置在保存前会显示差异，并先做备份。 | 动作控制 | 默认开启 | 产品Linux Server |
| 接受 Sensor 的审计 | 把 Server Edition 与 Sensor 配对后，即可接受来自 LAN 外侧的审计。 | 动作控制 审计 | 默认手动开启 手动处置 | 产品Linux Server |
| 配对与吊销 | 通过一次性代码，设备与 Sensor 建立相互信任。遗失或被盗时，可从收集器吊销，该 Sensor 会自行停止。 | 动作控制 | 默认— 手动处置 | 产品Sensor |
| 多站点汇总（收集器） | 以带签名的方式汇集多个 Sensor 的摘要，在仪表板中查看各站点的情况，也可导出为 CSV。 | 动作报告 | 默认手动开启 | 产品Sensor |
没有匹配的功能
自动拦截的与仅通知的
区分检测后自动拦截、隔离的功能，与仅发出通知的功能。
自动拦截、隔离 27
| 功能 | 动作 | 默认 | 产品 |
|---|---|---|---|
| 批量加密检测 | 动作检测 隔离 | 默认Pro 版开启 | 产品Mac Linux |
| 下载后即时恶意软件检查 | 动作检测 拦截 | 默认开启 | 产品Mac Linux |
| 与 Apple 恶意软件检测联动 | 动作隔离 | 默认Pro 版开启 | 产品Mac |
| ClickFix 检测 | 动作检测 拦截 | 默认手动开启 | 产品Mac Linux |
| 危险执行的事前拦截 | 动作拦截 | 默认开启 | 产品Linux |
| 内核层入侵检测与自主隔离 | 动作检测 隔离 | 默认开启 | 产品Linux Server |
| 按连接网络切换保护级别 | 动作控制 拦截 | 默认开启 | 产品Mac Linux |
| 共享服务自动停止与恢复 | 动作控制 拦截 | 默认开启 | 产品Mac Linux |
| 未知端口暴露的自动阻断 | 动作检测 拦截 | 默认Pro 版开启 | 产品Mac Linux |
| 阻断开发服务器的对外暴露 | 动作拦截 | 默认Pro 版开启 | 产品Mac Linux |
| 外部端口扫描的检测与阻断 | 动作检测 拦截 | 默认Pro 版开启 | 产品Mac Linux Linux Server |
| ARP 欺骗的检测与自动阻断 | 动作检测 隔离 | 默认Pro 版开启 | 产品Mac Linux |
| DNS 威胁防护 | 动作拦截 | 默认开启 | 产品Mac Linux |
| 链接防护 | 动作检测 拦截 | 默认开启 | 产品Mac Linux |
| 不受信任网络中的 VPN 与 Kill Switch | 动作控制 拦截 | 默认手动开启 | 产品Mac Linux |
| Air-Gap 期间停用 Wi-Fi | 动作隔离 | 默认开启 | 产品Mac |
| 入站默认拒绝与防止 SSH 被锁在门外 | 动作拦截 | 默认开启 | 产品Linux Server |
| 阻断发往恶意 IP 的出站通信 | 动作拦截 | 默认开启 | 产品Linux Server |
| Web Shell 与恶意代码检测 | 动作检测 拦截 | 默认Pro 版开启 | 产品Mac Linux Server |
| Web Gate | 动作拦截 | 默认手动开启 | 产品Linux Server |
| 文件扫描守卫 | 动作检测 拦截 | 默认手动开启 | 产品Linux Server |
| SSH 暴力破解的检测与阻断 | 动作检测 拦截 | 默认Pro 版开启 | 产品Mac Linux Linux Server |
| 防止 Docker 绕过防火墙 | 动作拦截 | 默认开启 | 产品Linux Server |
| Bluetooth 管控与检查 | 动作控制 审计 | 默认手动开启 | 产品Mac Linux |
| 启动初期保护（实验性） | 动作拦截 | 默认手动开启 | 产品Linux Linux Server |
| 自我监控与自动重启 | 动作控制 检测 | 默认开启 | 产品Mac Linux |
| 遏制时自动取证 | 动作记录 | 默认开启 | 产品Mac Linux |
仅通知 42
| 功能 | 动作 | 默认 | 产品 |
|---|---|---|---|
| 诱饵文件检测 | 动作检测 隔离 | 默认Pro 版开启 | 产品Mac Linux Linux Server |
| 备份时效性诊断 | 动作审计 | 默认开启 | 产品Mac Linux Linux Server |
| 凭据诱饵 | 动作检测 | 默认Pro 版开启 | 产品Mac Linux Linux Server |
| 凭据文件读取监控 | 动作检测 | 默认开启 | 产品Linux |
| 浏览器存储信息监控 | 动作检测 | 默认手动开启 | 产品Mac |
| AI 代理登录信息诊断 | 动作审计 | 默认开启 | 产品Mac |
| 进程执行记录与攻击手法检测 | 动作检测 记录 | 默认手动开启 | 产品Mac Linux Linux Server |
| 导入 Sigma 规则 | 动作检测 | 默认手动开启 | 产品Mac Linux Linux Server |
| 反向 Shell 检测 | 动作检测 | 默认Pro 版开启 | 产品Mac Linux Linux Server |
| 文件内容特征匹配 | 动作检测 | 默认开启 | 产品Mac Linux Linux Server |
| Web 服务器 worker 异常退出检测 | 动作检测 | 默认Pro 版开启 | 产品Mac Linux Server |
| 自启动项注册监控 | 动作检测 | 默认开启 | 产品Mac Linux |
| 关键系统文件篡改监控 | 动作检测 记录 | 默认Pro 版开启 | 产品Mac Linux Server |
| 锁文件篡改监控 | 动作检测 | 默认Pro 版开启 | 产品Mac |
| SUID/SGID 变更监控 | 动作检测 | 默认开启 | 产品Linux Server |
| 日志清除监控 | 动作检测 | 默认开启 | 产品Linux Server |
| 对外开放端口审计 | 动作审计 | 默认开启 | 产品Mac Linux Linux Server |
| Wi-Fi 安全性诊断 | 动作检测 审计 | 默认开启 | 产品Mac Linux |
| 网络配置变化监控 | 动作检测 | 默认Pro 版开启 | 产品Mac Linux |
| DNS 隧道检测 | 动作检测 | 默认开启 | 产品Linux Server |
| 标识符暴力枚举检测（Web 访问守卫） | 动作检测 拦截 | 默认手动开启 | 产品Linux Server |
| SSH 与 sudo 配置诊断 | 动作审计 | 默认开启 | 产品Mac Linux Linux Server |
| 容器危险启动检测 | 动作检测 | 默认手动开启 | 产品Mac Linux Server |
| 资源耗尽与崩溃检测 | 动作检测 | 默认开启 | 产品Linux Server |
| 云元数据访问监控 | 动作检测 | 默认开启 | 产品Linux Server |
| AI 代理专用账户保护 | 动作控制 检测 | 默认手动开启 | 产品Linux Server |
| 内核漏洞比对 | 动作审计 | 默认开启 | 产品Linux Linux Server |
| AI 代理配置审计 | 动作审计 检测 | 默认手动运行 | 产品Mac Linux Linux Server |
| AI 指令混入警告 | 动作检测 | 默认开启 | 产品Mac Linux Linux Server |
| 本地 AI 运行环境识别 | 动作审计 | 默认开启 | 产品Mac Linux |
| 安全综合诊断 | 动作审计 报告 | 默认开启 | 产品Mac Linux Linux Server |
| LLMNR/NBNS 响应诊断 | 动作审计 | 默认开启 | 产品Linux Linux Server |
| 安全日志审计 | 动作检测 审计 | 默认Pro 版开启 | 产品Mac Linux Linux Server |
| 定期运行（PersonalSOC，可选） | 动作报告 | 默认手动开启 | 产品PersonalSOC |
| LAN 可疑通信检测（Sensor，被动捕获） | 动作检测 | 默认手动开启 | 产品Sensor |
| 定期审计与上次差异（Sensor） | 动作审计 报告 | 默认手动开启 | 产品Sensor |
| 审计报告与通知（Sensor） | 动作报告 记录 | 默认手动开启 | 产品Sensor |
| LAN 设备台账与 ARP 监控 | 动作检测 记录 | 默认开启 | 产品Sensor |
| 非法 DHCP 服务器与 IPv6 路由器检测 | 动作检测 | 默认开启 | 产品Sensor |
| 学习各设备的日常行为 | 动作检测 | 默认开启 | 产品Sensor |
| 定期自主巡检 | 动作审计 | 默认开启 | 产品Mac |
| 紧急通知（Telegram、LINE、Webhook） | 动作报告 | 默认手动开启 | 产品Linux Server |
手动处置 21
| 功能 | 动作 | 默认 | 产品 |
|---|---|---|---|
| 恢复受害前的文件 | 动作控制 记录 | 默认开启 | 产品Mac Linux |
| API 密钥和私钥检测 | 动作审计 | 默认开启 | 产品Mac Linux Linux Server |
| 可被用于提权的内核模块检查 | 动作审计 控制 | 默认手动运行 | 产品Linux Linux Server |
| URL 安全性诊断 | 动作审计 | 默认手动运行 | 产品Mac Linux |
| Air-Gap（紧急全面阻断） | 动作隔离 | 默认手动运行 | 产品Mac Linux |
| 软件包已知漏洞比对 | 动作审计 | 默认手动运行 | 产品Mac Linux Linux Server |
| 漏洞风险接受 | 动作控制 记录 | 默认手动运行 | 产品Mac Linux |
| 安装时运行代码的检查 | 动作审计 | 默认手动运行 | 产品Mac Linux |
| 依赖来源检查 | 动作审计 | 默认手动运行 | 产品Mac |
| 相似名称软件包判定 | 动作审计 | 默认手动运行 | 产品Mac Linux |
| npm 软件包签名验证 | 动作审计 | 默认手动开启 | 产品Mac Linux Server |
| MCP 配置检查 | 动作审计 | 默认手动运行 | 产品Mac Linux |
| USB 存储设备管控 | 动作拦截 控制 | 默认手动开启 | 产品Mac Linux |
| BadUSB 防护 | 动作拦截 | 默认手动开启 | 产品Mac Linux |
| 实证型漏洞诊断 | 动作审计 | 默认手动开启 | 产品Mac Linux |
| 提权路径分析 | 动作审计 | 默认手动运行 | 产品PathScope |
| 从 LAN 外侧发起的漏洞审计 | 动作审计 | 默认手动运行 | 产品Sensor |
| 未部署设备的轻量审计 | 动作审计 | 默认手动开启 | 产品Sensor |
| 可还原设置的卸载 | 动作控制 | 默认手动运行 | 产品Mac Linux Linux Server |
| 接受 Sensor 的审计 | 动作控制 审计 | 默认手动开启 | 产品Linux Server |
| 配对与吊销 | 动作控制 | 默认— | 产品Sensor |
能检测的范围与未覆盖的范围 52
按攻击手法（MITRE ATT&CK）显示：可检测、部分检测或未覆盖。
| 手法 | Mac | Linux | Linux Server |
|---|---|---|---|
| T1027 Obfuscated Files or Information | Mac— | Linux部分 | Linux Server部分 |
| T1027.010 Obfuscated Files or Information: Command Obfuscation | Mac部分 | Linux— | Linux Server— |
| T1036 Masquerading | Mac未覆盖 | Linux未覆盖 | Linux Server未覆盖 |
| T1037.004 Boot or Logon Initialization Scripts: RC Scripts | Mac— | Linux部分 | Linux Server未覆盖 |
| T1046 Network Service Discovery | Mac部分 | Linux— | Linux Server— |
| T1053.003 Scheduled Task/Job: Cron | Mac— | Linux部分 | Linux Server部分 |
| T1055 Process Injection | Mac未覆盖 | Linux部分 | Linux Server部分 |
| T1055.008 Process Injection: Ptrace System Calls | Mac— | Linux部分 | Linux Server部分 |
| T1059.002 Command and Scripting Interpreter: AppleScript | Mac部分 | Linux— | Linux Server— |
| T1059.004 Command and Scripting Interpreter: Unix Shell | Mac部分 | Linux部分 | Linux Server部分 |
| T1068 Exploitation for Privilege Escalation | Mac— | Linux部分 | Linux Server部分 |
| T1070.002 Indicator Removal: Clear Linux or Mac System Logs | Mac未覆盖 | Linux未覆盖 | Linux Server部分 |
| T1070.003 Indicator Removal: Clear Command History | Mac未覆盖 | Linux未覆盖 | Linux Server未覆盖 |
| T1070.004 Indicator Removal: File Deletion | Mac— | Linux部分 | Linux Server部分 |
| T1071.004 Application Layer Protocol: DNS | Mac— | Linux部分 | Linux Server部分 |
| T1091 Replication Through Removable Media | Mac部分 | Linux— | Linux Server— |
| T1098.004 Account Manipulation: SSH Authorized Keys | Mac部分 | Linux部分 | Linux Server部分 |
| T1105 Ingress Tool Transfer | Mac— | Linux部分 | Linux Server部分 |
| T1110.001 Brute Force: Password Guessing | Mac检测 | Linux部分 | Linux Server部分 |
| T1195.001 Supply Chain Compromise: Compromise Software Dependencies and Development Tools | Mac部分 | Linux— | Linux Server— |
| T1200 Hardware Additions | Mac部分 | Linux— | Linux Server— |
| T1204.002 User Execution: Malicious File | Mac部分 | Linux— | Linux Server— |
| T1204.004 User Execution: Malicious Copy and Paste | Mac部分 | Linux— | Linux Server— |
| T1486 Data Encrypted for Impact | Mac部分 | Linux部分 | Linux Server部分 |
| T1490 Inhibit System Recovery | Mac部分 | Linux部分 | Linux Server部分 |
| T1505.003 Server Software Component: Web Shell | Mac部分 | Linux部分 | Linux Server部分 |
| T1543.001 Create or Modify System Process: Launch Agent | Mac检测 | Linux— | Linux Server— |
| T1543.002 Create or Modify System Process: Systemd Service | Mac— | Linux部分 | Linux Server部分 |
| T1543.004 Create or Modify System Process: Launch Daemon | Mac检测 | Linux— | Linux Server— |
| T1546.004 Event Triggered Execution: Unix Shell Configuration Modification | Mac部分 | Linux部分 | Linux Server部分 |
| T1546.016 Event Triggered Execution: Installer Packages | Mac— | Linux部分 | Linux Server未覆盖 |
| T1546.017 Event Triggered Execution: Udev Rules | Mac— | Linux部分 | Linux Server未覆盖 |
| T1547.015 Boot or Logon Autostart Execution: Login Items | Mac未覆盖 | Linux— | Linux Server— |
| T1548.001 Abuse Elevation Control Mechanism: Setuid and Setgid | Mac— | Linux未覆盖 | Linux Server部分 |
| T1548.003 Abuse Elevation Control Mechanism: Sudo and Sudo Caching | Mac部分 | Linux— | Linux Server— |
| T1552.001 Unsecured Credentials: Credentials In Files | Mac部分 | Linux部分 | Linux Server部分 |
| T1552.005 Unsecured Credentials: Cloud Instance Metadata API | Mac— | Linux未覆盖 | Linux Server部分 |
| T1553.001 Subvert Trust Controls: Gatekeeper Bypass | Mac部分 | Linux— | Linux Server— |
| T1555.001 Credentials from Password Stores: Keychain | Mac部分 | Linux— | Linux Server— |
| T1555.003 Credentials from Password Stores: Credentials from Web Browsers | Mac部分 | Linux— | Linux Server— |
| T1557.001 Adversary-in-the-Middle: LLMNR/NBT-NS Poisoning and SMB Relay | Mac未覆盖 | Linux部分 | Linux Server未覆盖 |
| T1557.002 Adversary-in-the-Middle: ARP Cache Poisoning | Mac部分 | Linux部分 | Linux Server未覆盖 |
| T1557.003 Adversary-in-the-Middle: DHCP Spoofing | Mac部分 | Linux部分 | Linux Server未覆盖 |
| T1562.001 Impair Defenses: Disable or Modify Tools | Mac部分 | Linux部分 | Linux Server部分 |
| T1562.004 Impair Defenses: Disable or Modify System Firewall | Mac未覆盖 | Linux部分 | Linux Server未覆盖 |
| T1562.006 Impair Defenses: Indicator Blocking | Mac未覆盖 | Linux未覆盖 | Linux Server部分 |
| T1562.012 Impair Defenses: Disable or Modify Linux Audit System | Mac— | Linux未覆盖 | Linux Server未覆盖 |
| T1566.002 Phishing: Spearphishing Link | Mac部分 | Linux— | Linux Server— |
| T1574.004 Hijack Execution Flow: Dylib Hijacking | Mac未覆盖 | Linux— | Linux Server— |
| T1574.006 Hijack Execution Flow: Dynamic Linker Hijacking | Mac部分 | Linux部分 | Linux Server部分 |
| T1610 Deploy Container | Mac部分 | Linux— | Linux Server— |
| T1620 Reflective Code Loading | Mac— | Linux部分 | Linux Server部分 |
“未覆盖”表示没有检测该手法的机制。