功能一覽
依保護對象，彙整 RoamSwitch 偵測什麼、如何攔阻、控制什麼。
勒索軟體 4
發現並阻止加密行為，並提供還原到受害前狀態的方法。
| 功能 | 作用 | 動作 | 預設 | 產品 |
|---|---|---|---|---|
| 大量加密偵測 T1486 | 監控寫入操作，當加密內容的檔案在短時間內增加時，阻斷通訊以防止損害擴大。 | 動作偵測 隔離 | 預設Pro 版開啟 自動處置 | 產品Mac Linux |
| 誘餌檔案偵測 T1486 | 在重要資料夾中放置誘餌檔案，偵測並通知竄改、刪除與加密。Mac 上還會自動阻斷通訊。 | 動作偵測 隔離 | 預設Pro 版開啟 僅通知 | 產品Mac Linux Linux Server |
| 還原受害前的檔案 | 可從定期建立的快照中逐一取出受害前的檔案。 | 動作控制 記錄 | 預設開啟 手動處置 | 產品Mac Linux |
| 備份時效性診斷 | 診斷最近一次備份是否夠新，過舊時發出通知。 | 動作稽核 | 預設開啟 僅通知 | 產品Mac Linux Linux Server |
憑證竊取 5
在密碼、金鑰與權杖被讀取的當下，發現竊取行為。
| 功能 | 作用 | 動作 | 預設 | 產品 |
|---|---|---|---|---|
| 憑證誘餌 T1552.001 | 在家目錄放置誘餌憑證（AWS、SSH 金鑰、Docker 等），被讀取的瞬間立即通知，並在通知中附上讀取的程式、指令與父行程。不會覆寫真實檔案。 | 動作偵測 | 預設Pro 版開啟 僅通知 | 產品Mac Linux Linux Server |
| 憑證檔案讀取監控 T1552.001 | 當非預期的程式開啟 SSH 私密金鑰、AWS／gcloud 憑證、瀏覽器儲存的密碼、AI 代理的登入資訊等檔案時發出通知。 | 動作偵測 | 預設開啟 僅通知 | 產品Linux |
| 瀏覽器儲存資訊監控 T1555.003 | 當瀏覽器以外的程式開啟 Chrome、Firefox 等儲存的密碼與 Cookie 檔案時發出通知。 | 動作偵測 | 預設手動開啟 僅通知 | 產品Mac |
| API 金鑰與私密金鑰偵測 T1204.004 | 從文字、檔案、資料夾與剪貼簿中找出 API 金鑰與私密金鑰，結果以遮罩方式顯示。 | 動作稽核 | 預設開啟 手動處置 | 產品Mac Linux Linux Server |
| AI 代理登入資訊診斷 T1552.001 | 檢查 Claude Code、Codex 等儲存登入資訊的檔案之權限、擁有者，以及是否位於同步資料夾或 git 管理之下。不會讀取檔案內容。 | 動作稽核 | 預設開啟 僅通知 | 產品Mac |
可疑執行與惡意軟體 10
發現攻擊者執行的程式與指令的執行鏈，並檢查下載的檔案。
| 功能 | 作用 | 動作 | 預設 | 產品 |
|---|---|---|---|---|
| 行程執行記錄與攻擊手法偵測 T1059.004 T1027 T1105 T1553.001 | 以防竄改方式記錄執行的程式、參數與父子關係。對瀏覽器啟動 shell、下載後執行、混淆執行、剛移除隔離屬性就執行等行為鏈發出通知。機敏資訊會被遮罩。 | 動作偵測 記錄 | 預設手動開啟 僅通知 | 產品Mac Linux Linux Server |
| 匯入 Sigma 規則 | 放入自己的 Sigma 規則（行程建立），即可套用於執行記錄並加入偵測。無法載入的規則會連同原因列在清單中。 | 動作偵測 | 預設手動開啟 僅通知 | 產品Mac Linux Linux Server |
| 反向 Shell 偵測 T1059.004 | 發現 shell 或直譯器的輸入輸出被接到外部連線上的狀態並發出通知，同時偵測指令的特徵形態。 | 動作偵測 | 預設Pro 版開啟 僅通知 | 產品Mac Linux Linux Server |
| 下載後即時惡意軟體檢查 T1204.002 T1027 | 自動檢查下載的檔案，並隔離發現的惡意檔案。已隔離的檔案可以還原，也可以徹底刪除。 | 動作偵測 攔阻 | 預設開啟 自動處置 | 產品Mac Linux |
| 檔案內容特徵比對 | 將下載檔案的內容與已知特徵比對。在 Linux 上，檔案寫入時也會進行。 | 動作偵測 | 預設開啟 僅通知 | 產品Mac Linux Linux Server |
| 與 Apple 惡意軟體偵測連動 | XProtect 實際偵測到惡意軟體的瞬間，立即阻斷通訊。 | 動作隔離 | 預設Pro 版開啟 自動處置 | 產品Mac |
| ClickFix 偵測 T1204.004 | 透過偽造的確認畫面誘使使用者自行貼上指令的攻擊，會從 shell 歷史記錄與剪貼簿中發現。 | 動作偵測 攔阻 | 預設手動開啟 自動處置 | 產品Mac Linux |
| 危險執行的事前攔截 | 在執行的時刻判定威脅，對真正的威脅拒絕執行。 | 動作攔阻 | 預設開啟 自動處置 | 產品Linux |
| 核心層入侵偵測與自主隔離 T1562.006 | 從核心事件中捕捉反向 shell、提權與惡意執行檔的執行。數毫秒內即可凍結或終止行程，並隔離主機。 | 動作偵測 隔離 | 預設開啟 自動處置 | 產品Linux Server |
| Web 伺服器 worker 異常結束偵測 | 從錯誤日誌中發現 nginx 與 Apache 的 worker 在短時間內反覆異常結束，並發出通知。 | 動作偵測 | 預設Pro 版開啟 僅通知 | 產品Mac Linux Server |
駐留與竄改 7
發現攻擊者在重新啟動後仍然駐留的手法，以及對重要檔案的改寫。
| 功能 | 作用 | 動作 | 預設 | 產品 |
|---|---|---|---|---|
| 自動啟動項目登錄監控 T1543.001 T1543.002 T1053.003 T1546.004 | 對新的自動啟動項目登錄或改寫，以及 shell 啟動檔等中出現的可疑行發出通知。能發現反向 shell 與下載後直接執行的寫法。 | 動作偵測 | 預設開啟 僅通知 | 產品Mac Linux |
| 關鍵系統檔案竄改監控 T1098.004 T1548.003 | 記錄 sudoers、PAM、sshd 設定、root 的 authorized_keys 等只有 root 才能改寫的檔案之雜湊，並通知變更、新增與刪除。在 Server 上還會附上修改者的行程及其登入資訊。 | 動作偵測 記錄 | 預設Pro 版開啟 僅通知 | 產品Mac Linux Server |
| 鎖定檔竄改監控 T1195.001 | 記錄已登錄專案的 package-lock.json 等檔案，在有人確認變更之前持續通知。 | 動作偵測 | 預設Pro 版開啟 僅通知 | 產品Mac |
| SUID／SGID 變更監控 T1548.001 | 通知 setuid、setgid 檔案的新增與變更。 | 動作偵測 | 預設開啟 僅通知 | 產品Linux Server |
| 日誌清除監控 T1070.002 | 通知驗證日誌等被清空或截斷。 | 動作偵測 | 預設開啟 僅通知 | 產品Linux Server |
| 核心強化 T1055 | 透過限制 ptrace、為 /tmp 與 /dev/shm 設定 noexec、限制非特權使用者命名空間等措施，減少提權與執行的立足點。 | 動作攔阻 | 預設開啟 | 產品Linux Linux Server |
| 可被用於提權的核心模組檢查 | 檢查 Copy Fail、Dirty Frag 等曾成為本機提權途徑的模組是否處於可載入狀態。未使用的模組可以禁止載入。 | 動作稽核 控制 | 預設手動執行 手動處置 | 產品Linux Linux Server |
網路防禦 18
依據所連線的網路切換防護，阻止可疑連線與對外暴露。
| 功能 | 作用 | 動作 | 預設 | 產品 |
|---|---|---|---|---|
| 依連線網路切換保護等級 | 自動辨識住家、辦公室、公共 Wi-Fi 等網路，並切換防火牆與共享服務的設定，也可以手動覆寫。 | 動作控制 攔阻 | 預設開啟 自動處置 | 產品Mac Linux |
| 共享服務自動停止與還原 | 在不受信任的網路中停止 SSH、螢幕共享、檔案共享等服務，回到安全網路後還原原狀。 | 動作控制 攔阻 | 預設開啟 自動處置 | 產品Mac Linux |
| 對外開放連接埠稽核 | 發現對外開放的連接埠，並判定其中的危險服務與本機 AI 推論伺服器。 | 動作稽核 | 預設開啟 僅通知 | 產品Mac Linux Linux Server |
| 未知連接埠暴露的自動阻斷 T1562.004 | 先前未出現過的程式一對外開放連接埠就立即阻斷。即使沒有特徵碼，也能應對新的後門。 | 動作偵測 攔阻 | 預設Pro 版開啟 自動處置 | 產品Mac Linux |
| 阻斷開發伺服器的對外暴露 | 將監聽所有介面的開發伺服器與本機 AI 伺服器和外部 LAN 隔開，仍可透過 localhost 使用。 | 動作攔阻 | 預設Pro 版開啟 自動處置 | 產品Mac Linux |
| 外部連接埠掃描的偵測與阻斷 T1046 | 發現在短時間內連線大量連接埠的來源並阻斷一段時間。不會阻斷閘道、DNS 與本機位址。 | 動作偵測 攔阻 | 預設Pro 版開啟 自動處置 | 產品Mac Linux Linux Server |
| ARP 欺騙的偵測與自動阻斷 T1557.002 | 發現閘道 MAC 位址的可疑變化並緊急阻斷通訊。在不受信任的 Wi-Fi 上會固定閘道的 ARP。 | 動作偵測 隔離 | 預設Pro 版開啟 自動處置 | 產品Mac Linux |
| Wi-Fi 安全性診斷 | 連線到無加密或弱加密的 Wi-Fi 時發出警告。與以前見過的網路名稱相似的首次出現名稱，會作為偽造存取點發出警告。 | 動作偵測 稽核 | 預設開啟 僅通知 | 產品Mac Linux |
| 網路設定變化監控 T1557.003 | 將網路下發的 DNS 伺服器、路由器與代理自動設定（PAC、WPAD）與上次比較，出現從未見過的值時發出通知，可作為發現偽造 DHCP 伺服器的線索。 | 動作偵測 | 預設Pro 版開啟 僅通知 | 產品Mac Linux |
| DNS 威脅防護 | 在 DNS 階段阻斷對 C2 伺服器與釣魚網站的網域名稱解析。回到可信網路後還原原狀。 | 動作攔阻 | 預設開啟 自動處置 | 產品Mac Linux |
| 連結防護 T1566.002 T1071.004 | 根據通訊的目的地發現通往釣魚與詐騙網站的連線，並予以阻斷或警告。對使用 DoH 的瀏覽器同樣有效。 | 動作偵測 攔阻 | 預設開啟 自動處置 | 產品Mac Linux |
| URL 安全性診斷 | 在裝置本機完成短網址展開、重新導向追蹤，以及對形近字元、假冒品牌網域與危險網域的判定。 | 動作稽核 | 預設手動執行 手動處置 | 產品Mac Linux |
| 不受信任網路中的 VPN 與 Kill Switch | 在不受信任的網路中自動連接 VPN，並阻斷隧道之外的流量洩漏。可選擇 WireGuard 或 Tailscale。 | 動作控制 攔阻 | 預設手動開啟 自動處置 | 產品Mac Linux |
| Air-Gap（緊急全面阻斷） | 立即阻斷所有對外通訊，並把解除步驟顯示在最前面。偵測觸發的自動阻斷也使用它。 | 動作隔離 | 預設手動執行 手動處置 | 產品Mac Linux |
| Air-Gap 期間停用 Wi-Fi | 透過 Air-Gap 阻斷時，同時關閉 Wi-Fi 無線電。 | 動作隔離 | 預設開啟 自動處置 | 產品Mac |
| 入站預設拒絕與防止 SSH 被鎖在門外 | 預設拒絕入站連線，但不會切斷目前正在使用的管理用 SSH。 | 動作攔阻 | 預設開啟 自動處置 | 產品Linux Server |
| 阻斷發往惡意 IP 的出站通訊 | 阻斷發往已知惡意 IP 與 C2 IP 的出站通訊。還可將 DNS 指向具備過濾功能的供應商。 | 動作攔阻 | 預設開啟 自動處置 | 產品Linux Server |
| DNS 隧道偵測 T1071.004 | 發現利用 DNS 外洩資料或 C2 的跡象並發出通知。 | 動作偵測 | 預設開啟 僅通知 | 產品Linux Server |
Web 與郵件 4
發現放在網站上的惡意程式碼，以及針對 Web 伺服器的攻擊。
| 功能 | 作用 | 動作 | 預設 | 產品 |
|---|---|---|---|---|
| Web Shell 與惡意程式碼偵測 T1505.003 | 從寫入公開目錄的檔案中發現 Web Shell 與經過混淆的注入程式碼，嚴重的預設會被隔離。公開目錄會根據 Apache、nginx、Caddy 的設定以及 Docker 掛載自動發現。 | 動作偵測 攔阻 | 預設Pro 版開啟 自動處置 | 產品Mac Linux Server |
| 識別碼暴力列舉偵測（Web 存取守衛） | 從存取日誌中發現依序替換受理編號、訂單編號進行查詢的行為，分散到大量 IP 的攻擊也在偵測範圍內。設定後可阻斷相關來源。 | 動作偵測 攔阻 | 預設手動開啟 僅通知 | 產品Linux Server |
| Web Gate | 與 nginx 連動，僅對接收編號的位置，依位置設定查詢額度進行保護，抑制不斷更換 IP 的攻擊。 | 動作攔阻 | 預設手動開啟 自動處置 | 產品Linux Server |
| 檔案掃描守衛 | 以 YARA 與 ClamAV 檢查郵件中繼、共享資料夾等位置的檔案，並將惡意檔案隔離。 | 動作偵測 攔阻 | 預設手動開啟 自動處置 | 產品Linux Server |
容器與伺服器 6
發現容器的危險啟動方式，以及伺服器特有的攻擊跡象。
| 功能 | 作用 | 動作 | 預設 | 產品 |
|---|---|---|---|---|
| 容器危險啟動偵測 T1610 | 通知以特權模式啟動或掛載了 docker.sock 的容器，同時監控容器內的執行。 | 動作偵測 | 預設手動開啟 僅通知 | 產品Mac Linux Server |
| 防止 Docker 繞過防火牆 | 防止 Docker 繞過預設拒絕規則，把本不打算公開的連接埠暴露出去。 | 動作攔阻 | 預設開啟 自動處置 | 產品Linux Server |
| 資源耗盡與當機偵測 | 發現對外公開服務的記憶體持續增長（洩漏或 DoS）以及反覆當機，並發出通知。 | 動作偵測 | 預設開啟 僅通知 | 產品Linux Server |
| 雲端中繼資料存取監控 T1552.005 | 當 root 以外的程式或容器連線到 169.254.169.254 等中繼資料 API 時發出通知，捕捉 SSRF 的最後一步。 | 動作偵測 | 預設開啟 僅通知 | 產品Linux Server |
| AI 代理專用帳號保護 | 以專用帳號執行代理時，將出站通訊限制在允許清單內，放置誘餌憑證，並將指令檔的改寫與 root 擁有的基準線比對。 | 動作控制 偵測 | 預設手動開啟 僅通知 | 產品Linux Server |
| 指定圍堵不會終止的行程 | 除內建清單外，還可以追加自動圍堵不會終止的行程。只有位於系統目錄中的執行檔才有效。 | 動作控制 | 預設— | 產品Linux Server |
供應鏈 7
在引入前後發現透過函式庫與開發環境發起的入侵。
| 功能 | 作用 | 動作 | 預設 | 產品 |
|---|---|---|---|---|
| 套件已知漏洞比對 | 將已安裝的套件與專案的鎖定檔和裝置本機的漏洞資料比對，不進行任何通訊。對有被利用機率（EPSS）的 CVE，依機率由高到低排序。 | 動作稽核 | 預設手動執行 手動處置 | 產品Mac Linux Linux Server |
| 漏洞風險接受 | 對不受影響的 CVE，可附上理由與期限予以接受。期限到期後恢復為一般偵測。 | 動作控制 記錄 | 預設手動執行 手動處置 | 產品Mac Linux |
| 安裝時執行程式碼的檢查 T1195.001 | 列出安裝時執行的腳本。相對於已確認的狀態，若出現腳本的新增或變更、已編譯程式碼的新增，就會通知。 | 動作稽核 | 預設手動執行 手動處置 | 產品Mac Linux |
| 依賴來源檢查 | 指出 pip 的 extra-index-url、未固定登錄庫的 npm 範圍等可能引發依賴混淆攻擊的設定。 | 動作稽核 | 預設手動執行 手動處置 | 產品Mac |
| 相似名稱套件判定 | 以編輯距離判定相依套件名稱是否與知名套件過於相似。 | 動作稽核 | 預設手動執行 手動處置 | 產品Mac Linux |
| npm 套件簽章驗證 | 透過 npm 登錄庫驗證已安裝套件的簽章與來源證明。 | 動作稽核 | 預設手動開啟 手動處置 | 產品Mac Linux Server |
| 核心漏洞比對 | 將正在執行的核心版本與已知漏洞比對，並列入診斷結果。 | 動作稽核 | 預設開啟 僅通知 | 產品Linux Linux Server |
AI 代理與 MCP 6
保護 AI 代理的設定，以及交給 AI 的資訊之安全。
| 功能 | 作用 | 動作 | 預設 | 產品 |
|---|---|---|---|---|
| AI 代理設定稽核 | 檢查指令檔、技能與設定檔，指出不可見字元、指令覆寫、下載後直接執行的寫法、對外傳送機密檔案等問題。相對於已核准的狀態發生變化時會通知，結果也可以 SARIF 格式匯出。 | 動作稽核 偵測 | 預設手動執行 僅通知 | 產品Mac Linux Linux Server |
| MCP 設定檢查 | 指出 Claude Desktop、Claude Code、Cursor 等的 MCP 設定中的自動核准、明文 http、單行指令啟動、特權容器等危險寫法。 | 動作稽核 | 預設手動執行 手動處置 | 產品Mac Linux |
| AI 指令混入警告 | 當套件腳本、日誌、Wi-Fi 名稱、命令列等來自外部的字串中混入了針對 AI 的指令時，會在結果末尾發出警告，只顯示發現的類型與數量。 | 動作偵測 | 預設開啟 僅通知 | 產品Mac Linux Linux Server |
| 供 AI 助理查詢狀態的 MCP 伺服器 | Claude 等可以讀取診斷與偵測的狀態。沒有修改設定的工具，也不進行任何通訊。 | 動作報告 | 預設開啟 | 產品Mac Linux Linux Server |
| 偵測範圍自我檢查 | 依 ATT&CK 手法逐項列出能否偵測、哪些範圍看不到、負責的功能目前是否在運作，也可以匯出為 ATT&CK Navigator 圖層。 | 動作報告 稽核 | 預設開啟 | 產品Mac Linux Linux Server |
| 本機 AI 執行環境識別 | 帶可信度地判定對外開放的連接埠是否屬於 Ollama、vLLM、LiteLLM 等本機 AI 執行環境。 | 動作稽核 | 預設開啟 僅通知 | 產品Mac Linux |
周邊裝置 3
在連接的當下阻止利用 USB 與 Bluetooth 的入侵。
| 功能 | 作用 | 動作 | 預設 | 產品 |
|---|---|---|---|---|
| USB 儲存裝置管控 T1091 | 未獲允許的 USB 儲存裝置會以唯讀方式連接，或暫緩連接並待確認。即使是已允許的裝置，連接後也先設為唯讀，掃描完成後再還原權限。 | 動作攔阻 控制 | 預設手動開啟 手動處置 | 產品Mac Linux |
| BadUSB 防護 T1200 | 在獲得核准之前，阻止未經核准的鍵盤與被改造的 USB 線材的輸入。按鍵間隔異常也作為輔助線索。 | 動作攔阻 | 預設手動開啟 手動處置 | 產品Mac Linux |
| Bluetooth 管控與檢查 | 在不受信任的網路中讓 Bluetooth 處於不可被探索的狀態，同時檢查是否允許未配對裝置接入。 | 動作控制 稽核 | 預設手動開啟 自動處置 | 產品Mac Linux |
診斷與漏洞 5
發現設定中的弱點，以及實際可以觸及的漏洞。
| 功能 | 作用 | 動作 | 預設 | 產品 |
|---|---|---|---|---|
| 安全綜合診斷 | 診斷磁碟加密、防火牆、作業系統更新、SSH、對外連接埠、瀏覽器防護等大量項目，提供分數與修正方法，並可重新確認已診斷的問題是否仍然存在。 | 動作稽核 報告 | 預設開啟 僅通知 | 產品Mac Linux Linux Server |
| 實證型漏洞診斷 | 僅針對本機的 127.0.0.1，以非破壞性方式驗證無驗證暴露、CORS 設定錯誤、路徑遍歷等問題。每次驗證都會標明會留下什麼以及證據的強度。 | 動作稽核 | 預設手動開啟 手動處置 | 產品Mac Linux |
| LLMNR／NBNS 回應診斷 T1557.001 | 檢查本機是否參與了同一網路中任何人都能回應的名稱解析。 | 動作稽核 | 預設開啟 僅通知 | 產品Linux Linux Server |
| 提權路徑分析 | 從 docker 群組、SUID、可被改寫的服務執行檔、免密碼的 sudo、cron、macOS 的隱私權限等入手，以圖表與清單呈現通往 root 或機敏資料的路徑，還可以假設修正後重新分析路徑。 | 動作稽核 | 預設手動執行 手動處置 | 產品PathScope |
| 從 LAN 外側發起的漏洞稽核 | 從放在 LAN 中的專用節點，以非破壞性方式檢查已配對裝置的對外連接埠與存在漏洞的服務。可以了解主機自身診斷看不到的、來自同一 LAN 中其他裝置的視角。 | 動作稽核 | 預設手動執行 手動處置 | 產品Sensor |
日誌分析與調查 22
從日誌與 LAN 資訊中，連同依據一起發現攻擊嘗試。
| 功能 | 作用 | 動作 | 預設 | 產品 |
|---|---|---|---|---|
| 安全日誌稽核 | 從日誌中彙總 sudo 失敗、SSH、Gatekeeper 攔截、驗證等事件。把首次出現的日誌類型與頻率的驟增視為異常。機敏資訊會被遮罩。 | 動作偵測 稽核 | 預設Pro 版開啟 僅通知 | 產品Mac Linux Linux Server |
| 存取日誌診斷（AccessScope） | 從 Web 伺服器與 SSH 日誌中發現攻擊嘗試，並附上依據所在的行。自動尋找日誌，並呈現跨多個日誌的攻擊鏈以及與平常的差異。未能讀取的範圍會寫入報告。 | 動作偵測 報告 | 預設手動執行 | 產品AccessScope |
| 一鍵查看現況（PersonalSOC） | 以唯讀方式檢查 SSH 驗證、auditd、Web、DNS、macOS 統一日誌，以及 MCP 設定與 RoamSwitch 的偵測歷史，彙整成儀表板與附帶 IOC 的報告。 | 動作報告 稽核 | 預設手動執行 | 產品PersonalSOC |
| LLM 自主調查（PersonalSOC，選用） | 啟用後，LLM 只使用被允許的唯讀工具進行調查並撰寫報告，不會交出 shell 或檔案。LLM 寫出的值中，不在所蒐集資料內的，會標示為可能是捏造的內容。 | 動作報告 | 預設手動開啟 | 產品PersonalSOC |
| 定期執行（PersonalSOC，選用） | 以使用者權限登錄定期執行，僅在出現上次沒有的偵測結果時通知數量。 | 動作報告 | 預設手動開啟 僅通知 | 產品PersonalSOC |
| 處置要點與修正方案（PathScope） | 依優先順序列出先修正效果最大的位置，並附上修正指令範例與對應的 ATT&CK 手法。指令不會自動執行。 | 動作報告 | 預設手動執行 | 產品PathScope |
| 已安裝軟體的已知漏洞比對（PathScope） | 將已安裝軟體的版本與內建的已知漏洞資料（CISA KEV 等）比對。存在公開攻擊模組的會明確標出。 | 動作稽核 | 預設手動執行 | 產品PathScope |
| 與歷史比較及持續檢查（PathScope） | 把分析結果作為歷史保存在裝置本機，並與上次比較差異。路徑增加時以結束碼 1 通知，因此也可用於定期執行。 | 動作記錄 報告 | 預設手動執行 | 產品PathScope |
| LLM 解說與設定解讀（PathScope，選用） | 可以讓 LLM 解說分析結果，並解讀 sudoers、cron 等難以閱讀的設定。不會傳送私密金鑰與 API 金鑰的值。解說中的值若不在資料中，會標示為可能是捏造的內容。 | 動作報告 | 預設手動開啟 | 產品PathScope |
| 縮小需檢視的數量（AccessScope） | 自家 IP 等可附上理由予以排除，並與上次診斷比較，只通知新的偵測結果。 | 動作控制 | 預設手動執行 | 產品AccessScope |
| 匯出結果（AccessScope） | 報告可匯出為 Markdown、JSON、SARIF、CSV，也可匯出已偵測到的 IP 的阻斷清單。僅負責匯出，不會執行阻斷。 | 動作報告 | 預設手動執行 | 產品AccessScope |
| LLM 分析（AccessScope，選用） | 啟用後，會把摘要與依據行交給 LLM 撰寫報告，機密資訊以遮罩處理。LLM 寫出的值中，不在所提供資料內的，會標示為可能是捏造的內容。 | 動作報告 | 預設手動開啟 | 產品AccessScope |
| LAN 可疑通訊偵測（Sensor，被動擷取） | 透過鏡像連接埠等被動擷取，把對已知惡意 IP 或管理連接埠的連線、殭屍網路化的跡象、DNS 隧道作為參考資訊呈現。不會阻斷通訊。 | 動作偵測 | 預設手動開啟 僅通知 | 產品Sensor |
| 定期稽核與上次差異（Sensor） | 定期稽核已配對的裝置，呈現新的偵測結果、已解決的問題與新開放的連接埠。 | 動作稽核 報告 | 預設手動開啟 僅通知 | 產品Sensor |
| 稽核報告與通知（Sensor） | 稽核結果、裝置清冊與操作日誌可匯出為 CSV、JSON、HTML。新裝置或 ARP 欺騙等事件可透過 Webhook 與 syslog 通知。操作日誌具備防竄改偵測。 | 動作報告 記錄 | 預設手動開啟 僅通知 | 產品Sensor |
| LAN 裝置清冊與 ARP 監控 | 盤點 LAN 上的裝置並建立清冊，對新裝置以及已知 IP 對應 MAC 的變化（ARP 欺騙）發出通知。 | 動作偵測 記錄 | 預設開啟 僅通知 | 產品Sensor |
| 非法 DHCP 伺服器與 IPv6 路由器偵測 | 以隨機 MAC 僅發送一個探測封包，統計回應的 DHCP 伺服器與 IPv6 路由器。對後來新增的伺服器，以及下發與正規不同閘道的伺服器發出通知。 | 動作偵測 | 預設開啟 僅通知 | 產品Sensor |
| 學習各裝置的日常行為 | 學習各裝置的通訊習慣，並在出現與平常不同的行為時通知。 | 動作偵測 | 預設開啟 僅通知 | 產品Sensor |
| 未部署裝置的輕量稽核 | 對印表機、攝影機等未配對的裝置，僅限於獲准的範圍，只透過連線確認與讀取服務標示進行檢查。 | 動作稽核 | 預設手動開啟 手動處置 | 產品Sensor |
| 事件時間軸 | 把圍堵與偵測的記錄彙整成一條時間軸，並附上行程譜系與 ATT&CK 標籤。 | 動作報告 記錄 | 預設開啟 | 產品Mac Linux |
| 已連接 USB 裝置清單 | 列出目前連接的外部 USB 裝置。 | 動作稽核 | 預設開啟 | 產品Mac |
| 開機初期保護（實驗性） | 從開機的早期階段起，在準備就緒之前，阻止 ARP 與 DHCP 用戶端以外的通訊。 | 動作攔阻 | 預設手動開啟 自動處置 | 產品Linux Linux Server |
證據、通知與維運 14
留存偵測證據，通知需要知道的人，並融入日常維運。
| 功能 | 作用 | 動作 | 預設 | 產品 |
|---|---|---|---|---|
| 自我監控與自動重新啟動 T1562.001 | RoamSwitch 本身異常結束時，會自動重新啟動並通知。 | 動作控制 偵測 | 預設開啟 自動處置 | 產品Mac Linux |
| 附簽章的威脅資料自動更新 | 驗證簽章後接收威脅情報來源、漏洞資料與規則，不會傳送裝置資訊。 | 動作控制 | 預設開啟 | 產品Mac Linux Linux Server |
| 可還原設定的解除安裝 | 刪除之前，先把網路設定還原，並清除誘餌檔案與新增的設定。 | 動作控制 | 預設手動執行 手動處置 | 產品Mac Linux Linux Server |
| 組織集中管理（Fleet） | 把裝置登錄到組織，接收並套用附簽章的原則。在裝置端可以查看登錄與原則的狀態。 | 動作控制 報告 | 預設手動開啟 | 產品Linux Linux Server |
| 定期自主巡檢 | 在背景定期執行綜合診斷。 | 動作稽核 | 預設開啟 僅通知 | 產品Mac |
| 圍堵時自動採證 | 圍堵開始時，自動蒐集當時的證據。可透過各檔案的 SHA-256 確認完整性。 | 動作記錄 | 預設開啟 自動處置 | 產品Mac Linux |
| 通知歷史 | 可以連同起因的程式、指令與路徑一起查看最近的通知。無法確定起因時，會如實註明。 | 動作記錄 報告 | 預設開啟 | 產品Mac Linux Linux Server |
| 緊急通知（Telegram、LINE、Webhook） | 把重大偵測結果傳送到 Telegram、LINE、Webhook。Slack、Discord、Teams 可透過傳入 Webhook URL 使用。 | 動作報告 | 預設手動開啟 僅通知 | 產品Linux Server |
| 事件轉送（SIEM、syslog、Webhook） | 把偵測與通知轉送到指定的 syslog、JSON Lines 檔案或附簽章的 Webhook，未能傳送的部分會重新傳送。 | 動作報告 | 預設手動開啟 | 產品Mac Linux Server |
| 具防竄改偵測的記錄 | 以雜湊把執行記錄串接起來，以便事後驗證。對正在寫入的區段，也每隔一定間隔設置檢查點。 | 動作記錄 | 預設開啟 | 產品Mac Linux Linux Server |
| 在終端機中操作全部功能 | Server Edition 的全部功能，都可透過 SSH 在 80x24 的畫面中僅用鍵盤操作。設定在儲存前會顯示差異，並先備份。 | 動作控制 | 預設開啟 | 產品Linux Server |
| 接受 Sensor 的稽核 | 把 Server Edition 與 Sensor 配對後，即可接受來自 LAN 外側的稽核。 | 動作控制 稽核 | 預設手動開啟 手動處置 | 產品Linux Server |
| 配對與撤銷 | 透過一次性代碼，裝置與 Sensor 建立相互信任。遺失或遭竊時，可從收集器撤銷，該 Sensor 會自行停止。 | 動作控制 | 預設— 手動處置 | 產品Sensor |
| 多據點彙總（收集器） | 以附簽章的方式彙集多個 Sensor 的摘要，在儀表板中查看各據點的狀況，也可匯出為 CSV。 | 動作報告 | 預設手動開啟 | 產品Sensor |
沒有符合的功能
自動攔阻的與僅通知的
區分偵測後自動攔阻、隔離的功能，與僅發出通知的功能。
自動攔阻、隔離 27
| 功能 | 動作 | 預設 | 產品 |
|---|---|---|---|
| 大量加密偵測 | 動作偵測 隔離 | 預設Pro 版開啟 | 產品Mac Linux |
| 下載後即時惡意軟體檢查 | 動作偵測 攔阻 | 預設開啟 | 產品Mac Linux |
| 與 Apple 惡意軟體偵測連動 | 動作隔離 | 預設Pro 版開啟 | 產品Mac |
| ClickFix 偵測 | 動作偵測 攔阻 | 預設手動開啟 | 產品Mac Linux |
| 危險執行的事前攔截 | 動作攔阻 | 預設開啟 | 產品Linux |
| 核心層入侵偵測與自主隔離 | 動作偵測 隔離 | 預設開啟 | 產品Linux Server |
| 依連線網路切換保護等級 | 動作控制 攔阻 | 預設開啟 | 產品Mac Linux |
| 共享服務自動停止與還原 | 動作控制 攔阻 | 預設開啟 | 產品Mac Linux |
| 未知連接埠暴露的自動阻斷 | 動作偵測 攔阻 | 預設Pro 版開啟 | 產品Mac Linux |
| 阻斷開發伺服器的對外暴露 | 動作攔阻 | 預設Pro 版開啟 | 產品Mac Linux |
| 外部連接埠掃描的偵測與阻斷 | 動作偵測 攔阻 | 預設Pro 版開啟 | 產品Mac Linux Linux Server |
| ARP 欺騙的偵測與自動阻斷 | 動作偵測 隔離 | 預設Pro 版開啟 | 產品Mac Linux |
| DNS 威脅防護 | 動作攔阻 | 預設開啟 | 產品Mac Linux |
| 連結防護 | 動作偵測 攔阻 | 預設開啟 | 產品Mac Linux |
| 不受信任網路中的 VPN 與 Kill Switch | 動作控制 攔阻 | 預設手動開啟 | 產品Mac Linux |
| Air-Gap 期間停用 Wi-Fi | 動作隔離 | 預設開啟 | 產品Mac |
| 入站預設拒絕與防止 SSH 被鎖在門外 | 動作攔阻 | 預設開啟 | 產品Linux Server |
| 阻斷發往惡意 IP 的出站通訊 | 動作攔阻 | 預設開啟 | 產品Linux Server |
| Web Shell 與惡意程式碼偵測 | 動作偵測 攔阻 | 預設Pro 版開啟 | 產品Mac Linux Server |
| Web Gate | 動作攔阻 | 預設手動開啟 | 產品Linux Server |
| 檔案掃描守衛 | 動作偵測 攔阻 | 預設手動開啟 | 產品Linux Server |
| SSH 暴力破解的偵測與阻斷 | 動作偵測 攔阻 | 預設Pro 版開啟 | 產品Mac Linux Linux Server |
| 防止 Docker 繞過防火牆 | 動作攔阻 | 預設開啟 | 產品Linux Server |
| Bluetooth 管控與檢查 | 動作控制 稽核 | 預設手動開啟 | 產品Mac Linux |
| 開機初期保護（實驗性） | 動作攔阻 | 預設手動開啟 | 產品Linux Linux Server |
| 自我監控與自動重新啟動 | 動作控制 偵測 | 預設開啟 | 產品Mac Linux |
| 圍堵時自動採證 | 動作記錄 | 預設開啟 | 產品Mac Linux |
僅通知 42
| 功能 | 動作 | 預設 | 產品 |
|---|---|---|---|
| 誘餌檔案偵測 | 動作偵測 隔離 | 預設Pro 版開啟 | 產品Mac Linux Linux Server |
| 備份時效性診斷 | 動作稽核 | 預設開啟 | 產品Mac Linux Linux Server |
| 憑證誘餌 | 動作偵測 | 預設Pro 版開啟 | 產品Mac Linux Linux Server |
| 憑證檔案讀取監控 | 動作偵測 | 預設開啟 | 產品Linux |
| 瀏覽器儲存資訊監控 | 動作偵測 | 預設手動開啟 | 產品Mac |
| AI 代理登入資訊診斷 | 動作稽核 | 預設開啟 | 產品Mac |
| 行程執行記錄與攻擊手法偵測 | 動作偵測 記錄 | 預設手動開啟 | 產品Mac Linux Linux Server |
| 匯入 Sigma 規則 | 動作偵測 | 預設手動開啟 | 產品Mac Linux Linux Server |
| 反向 Shell 偵測 | 動作偵測 | 預設Pro 版開啟 | 產品Mac Linux Linux Server |
| 檔案內容特徵比對 | 動作偵測 | 預設開啟 | 產品Mac Linux Linux Server |
| Web 伺服器 worker 異常結束偵測 | 動作偵測 | 預設Pro 版開啟 | 產品Mac Linux Server |
| 自動啟動項目登錄監控 | 動作偵測 | 預設開啟 | 產品Mac Linux |
| 關鍵系統檔案竄改監控 | 動作偵測 記錄 | 預設Pro 版開啟 | 產品Mac Linux Server |
| 鎖定檔竄改監控 | 動作偵測 | 預設Pro 版開啟 | 產品Mac |
| SUID／SGID 變更監控 | 動作偵測 | 預設開啟 | 產品Linux Server |
| 日誌清除監控 | 動作偵測 | 預設開啟 | 產品Linux Server |
| 對外開放連接埠稽核 | 動作稽核 | 預設開啟 | 產品Mac Linux Linux Server |
| Wi-Fi 安全性診斷 | 動作偵測 稽核 | 預設開啟 | 產品Mac Linux |
| 網路設定變化監控 | 動作偵測 | 預設Pro 版開啟 | 產品Mac Linux |
| DNS 隧道偵測 | 動作偵測 | 預設開啟 | 產品Linux Server |
| 識別碼暴力列舉偵測（Web 存取守衛） | 動作偵測 攔阻 | 預設手動開啟 | 產品Linux Server |
| SSH 與 sudo 設定診斷 | 動作稽核 | 預設開啟 | 產品Mac Linux Linux Server |
| 容器危險啟動偵測 | 動作偵測 | 預設手動開啟 | 產品Mac Linux Server |
| 資源耗盡與當機偵測 | 動作偵測 | 預設開啟 | 產品Linux Server |
| 雲端中繼資料存取監控 | 動作偵測 | 預設開啟 | 產品Linux Server |
| AI 代理專用帳號保護 | 動作控制 偵測 | 預設手動開啟 | 產品Linux Server |
| 核心漏洞比對 | 動作稽核 | 預設開啟 | 產品Linux Linux Server |
| AI 代理設定稽核 | 動作稽核 偵測 | 預設手動執行 | 產品Mac Linux Linux Server |
| AI 指令混入警告 | 動作偵測 | 預設開啟 | 產品Mac Linux Linux Server |
| 本機 AI 執行環境識別 | 動作稽核 | 預設開啟 | 產品Mac Linux |
| 安全綜合診斷 | 動作稽核 報告 | 預設開啟 | 產品Mac Linux Linux Server |
| LLMNR／NBNS 回應診斷 | 動作稽核 | 預設開啟 | 產品Linux Linux Server |
| 安全日誌稽核 | 動作偵測 稽核 | 預設Pro 版開啟 | 產品Mac Linux Linux Server |
| 定期執行（PersonalSOC，選用） | 動作報告 | 預設手動開啟 | 產品PersonalSOC |
| LAN 可疑通訊偵測（Sensor，被動擷取） | 動作偵測 | 預設手動開啟 | 產品Sensor |
| 定期稽核與上次差異（Sensor） | 動作稽核 報告 | 預設手動開啟 | 產品Sensor |
| 稽核報告與通知（Sensor） | 動作報告 記錄 | 預設手動開啟 | 產品Sensor |
| LAN 裝置清冊與 ARP 監控 | 動作偵測 記錄 | 預設開啟 | 產品Sensor |
| 非法 DHCP 伺服器與 IPv6 路由器偵測 | 動作偵測 | 預設開啟 | 產品Sensor |
| 學習各裝置的日常行為 | 動作偵測 | 預設開啟 | 產品Sensor |
| 定期自主巡檢 | 動作稽核 | 預設開啟 | 產品Mac |
| 緊急通知（Telegram、LINE、Webhook） | 動作報告 | 預設手動開啟 | 產品Linux Server |
手動處置 21
| 功能 | 動作 | 預設 | 產品 |
|---|---|---|---|
| 還原受害前的檔案 | 動作控制 記錄 | 預設開啟 | 產品Mac Linux |
| API 金鑰與私密金鑰偵測 | 動作稽核 | 預設開啟 | 產品Mac Linux Linux Server |
| 可被用於提權的核心模組檢查 | 動作稽核 控制 | 預設手動執行 | 產品Linux Linux Server |
| URL 安全性診斷 | 動作稽核 | 預設手動執行 | 產品Mac Linux |
| Air-Gap（緊急全面阻斷） | 動作隔離 | 預設手動執行 | 產品Mac Linux |
| 套件已知漏洞比對 | 動作稽核 | 預設手動執行 | 產品Mac Linux Linux Server |
| 漏洞風險接受 | 動作控制 記錄 | 預設手動執行 | 產品Mac Linux |
| 安裝時執行程式碼的檢查 | 動作稽核 | 預設手動執行 | 產品Mac Linux |
| 依賴來源檢查 | 動作稽核 | 預設手動執行 | 產品Mac |
| 相似名稱套件判定 | 動作稽核 | 預設手動執行 | 產品Mac Linux |
| npm 套件簽章驗證 | 動作稽核 | 預設手動開啟 | 產品Mac Linux Server |
| MCP 設定檢查 | 動作稽核 | 預設手動執行 | 產品Mac Linux |
| USB 儲存裝置管控 | 動作攔阻 控制 | 預設手動開啟 | 產品Mac Linux |
| BadUSB 防護 | 動作攔阻 | 預設手動開啟 | 產品Mac Linux |
| 實證型漏洞診斷 | 動作稽核 | 預設手動開啟 | 產品Mac Linux |
| 提權路徑分析 | 動作稽核 | 預設手動執行 | 產品PathScope |
| 從 LAN 外側發起的漏洞稽核 | 動作稽核 | 預設手動執行 | 產品Sensor |
| 未部署裝置的輕量稽核 | 動作稽核 | 預設手動開啟 | 產品Sensor |
| 可還原設定的解除安裝 | 動作控制 | 預設手動執行 | 產品Mac Linux Linux Server |
| 接受 Sensor 的稽核 | 動作控制 稽核 | 預設手動開啟 | 產品Linux Server |
| 配對與撤銷 | 動作控制 | 預設— | 產品Sensor |
能偵測的範圍與未涵蓋的範圍 52
依攻擊手法（MITRE ATT&CK）顯示：可偵測、部分偵測或未涵蓋。
| 手法 | Mac | Linux | Linux Server |
|---|---|---|---|
| T1027 Obfuscated Files or Information | Mac— | Linux部分 | Linux Server部分 |
| T1027.010 Obfuscated Files or Information: Command Obfuscation | Mac部分 | Linux— | Linux Server— |
| T1036 Masquerading | Mac未涵蓋 | Linux未涵蓋 | Linux Server未涵蓋 |
| T1037.004 Boot or Logon Initialization Scripts: RC Scripts | Mac— | Linux部分 | Linux Server未涵蓋 |
| T1046 Network Service Discovery | Mac部分 | Linux— | Linux Server— |
| T1053.003 Scheduled Task/Job: Cron | Mac— | Linux部分 | Linux Server部分 |
| T1055 Process Injection | Mac未涵蓋 | Linux部分 | Linux Server部分 |
| T1055.008 Process Injection: Ptrace System Calls | Mac— | Linux部分 | Linux Server部分 |
| T1059.002 Command and Scripting Interpreter: AppleScript | Mac部分 | Linux— | Linux Server— |
| T1059.004 Command and Scripting Interpreter: Unix Shell | Mac部分 | Linux部分 | Linux Server部分 |
| T1068 Exploitation for Privilege Escalation | Mac— | Linux部分 | Linux Server部分 |
| T1070.002 Indicator Removal: Clear Linux or Mac System Logs | Mac未涵蓋 | Linux未涵蓋 | Linux Server部分 |
| T1070.003 Indicator Removal: Clear Command History | Mac未涵蓋 | Linux未涵蓋 | Linux Server未涵蓋 |
| T1070.004 Indicator Removal: File Deletion | Mac— | Linux部分 | Linux Server部分 |
| T1071.004 Application Layer Protocol: DNS | Mac— | Linux部分 | Linux Server部分 |
| T1091 Replication Through Removable Media | Mac部分 | Linux— | Linux Server— |
| T1098.004 Account Manipulation: SSH Authorized Keys | Mac部分 | Linux部分 | Linux Server部分 |
| T1105 Ingress Tool Transfer | Mac— | Linux部分 | Linux Server部分 |
| T1110.001 Brute Force: Password Guessing | Mac偵測 | Linux部分 | Linux Server部分 |
| T1195.001 Supply Chain Compromise: Compromise Software Dependencies and Development Tools | Mac部分 | Linux— | Linux Server— |
| T1200 Hardware Additions | Mac部分 | Linux— | Linux Server— |
| T1204.002 User Execution: Malicious File | Mac部分 | Linux— | Linux Server— |
| T1204.004 User Execution: Malicious Copy and Paste | Mac部分 | Linux— | Linux Server— |
| T1486 Data Encrypted for Impact | Mac部分 | Linux部分 | Linux Server部分 |
| T1490 Inhibit System Recovery | Mac部分 | Linux部分 | Linux Server部分 |
| T1505.003 Server Software Component: Web Shell | Mac部分 | Linux部分 | Linux Server部分 |
| T1543.001 Create or Modify System Process: Launch Agent | Mac偵測 | Linux— | Linux Server— |
| T1543.002 Create or Modify System Process: Systemd Service | Mac— | Linux部分 | Linux Server部分 |
| T1543.004 Create or Modify System Process: Launch Daemon | Mac偵測 | Linux— | Linux Server— |
| T1546.004 Event Triggered Execution: Unix Shell Configuration Modification | Mac部分 | Linux部分 | Linux Server部分 |
| T1546.016 Event Triggered Execution: Installer Packages | Mac— | Linux部分 | Linux Server未涵蓋 |
| T1546.017 Event Triggered Execution: Udev Rules | Mac— | Linux部分 | Linux Server未涵蓋 |
| T1547.015 Boot or Logon Autostart Execution: Login Items | Mac未涵蓋 | Linux— | Linux Server— |
| T1548.001 Abuse Elevation Control Mechanism: Setuid and Setgid | Mac— | Linux未涵蓋 | Linux Server部分 |
| T1548.003 Abuse Elevation Control Mechanism: Sudo and Sudo Caching | Mac部分 | Linux— | Linux Server— |
| T1552.001 Unsecured Credentials: Credentials In Files | Mac部分 | Linux部分 | Linux Server部分 |
| T1552.005 Unsecured Credentials: Cloud Instance Metadata API | Mac— | Linux未涵蓋 | Linux Server部分 |
| T1553.001 Subvert Trust Controls: Gatekeeper Bypass | Mac部分 | Linux— | Linux Server— |
| T1555.001 Credentials from Password Stores: Keychain | Mac部分 | Linux— | Linux Server— |
| T1555.003 Credentials from Password Stores: Credentials from Web Browsers | Mac部分 | Linux— | Linux Server— |
| T1557.001 Adversary-in-the-Middle: LLMNR/NBT-NS Poisoning and SMB Relay | Mac未涵蓋 | Linux部分 | Linux Server未涵蓋 |
| T1557.002 Adversary-in-the-Middle: ARP Cache Poisoning | Mac部分 | Linux部分 | Linux Server未涵蓋 |
| T1557.003 Adversary-in-the-Middle: DHCP Spoofing | Mac部分 | Linux部分 | Linux Server未涵蓋 |
| T1562.001 Impair Defenses: Disable or Modify Tools | Mac部分 | Linux部分 | Linux Server部分 |
| T1562.004 Impair Defenses: Disable or Modify System Firewall | Mac未涵蓋 | Linux部分 | Linux Server未涵蓋 |
| T1562.006 Impair Defenses: Indicator Blocking | Mac未涵蓋 | Linux未涵蓋 | Linux Server部分 |
| T1562.012 Impair Defenses: Disable or Modify Linux Audit System | Mac— | Linux未涵蓋 | Linux Server未涵蓋 |
| T1566.002 Phishing: Spearphishing Link | Mac部分 | Linux— | Linux Server— |
| T1574.004 Hijack Execution Flow: Dylib Hijacking | Mac未涵蓋 | Linux— | Linux Server— |
| T1574.006 Hijack Execution Flow: Dynamic Linker Hijacking | Mac部分 | Linux部分 | Linux Server部分 |
| T1610 Deploy Container | Mac部分 | Linux— | Linux Server— |
| T1620 Reflective Code Loading | Mac— | Linux部分 | Linux Server部分 |
「未涵蓋」表示沒有偵測該手法的機制。