RoamSwitch for Linux 操作手冊
本篇說明桌面版 RoamSwitch（系統匣圖示＋主視窗）的所有功能，依實際顯示順序，逐一介紹系統匣選單與主視窗的每個分頁。內容以 GTK 桌面環境（GNOME／KDE／XFCE 等）為前提。若您要在無圖形介面的伺服器上運作，請參閱伺服器版維運手冊。
1. 關於本手冊
RoamSwitch for Linux 是一款以 🛡️ 圖示常駐於桌面系統匣（通知區域）的應用程式。點選系統匣圖示會開啟選單，從那裡呼叫主視窗即可開啟提供更詳細設定的畫面。
許多進階功能都標有 Pro 標記，代表這項功能需要購買（或試用）RoamSwitch Pro 後才能啟用。沒有此標記的項目皆可免費使用。
2. 系統匣選單
這是點選系統匣圖示後開啟的選單。以下依由上而下的順序說明。
| 項目 | 說明 |
|---|---|
| 狀態顯示列 | 顯示目前的保護狀態（例如：「🔒 外出保護 [等級]」）。點選後會開啟主視窗。 |
| 🚨 解除 Air-Gap 並恢復通訊 條件式顯示 | 僅在偵測到嚴重威脅、網路進入緊急隔離（Air-Gap）狀態時才會顯示。請先確認安全後再手動解除。 |
| 📶 Wi-Fi／有線連線狀態 | 顯示目前連線的網路名稱與安全方式，或有線連線的狀態（僅供顯示，無法操作）。 |
| 恢復通訊 條件式顯示 | 僅在 Wi-Fi 或藍牙等無線功能因保護而被封鎖時才會顯示，可手動恢復。 |
| 立即套用 Lockdown／Balanced／Open | 以單次點選，立即將三段式安全等級中的任一等級套用到目前的網路。Lockdown 最為嚴格，Open 則最為寬鬆。 |
| 恢復自動判斷模式／解除覆寫 | 停止使用手動固定的等級，回到依網路自動判斷的模式。 |
| 持續期間子選單 | 選擇手動套用的等級要維持多久，共有 6 個選項：直到下次中斷連線／1 小時／2 小時／4 小時／今日內／直到手動解除為止。 |
| DNS 子選單 | 可切換 DNS 威脅防護的開關，並從 Quad9・Cloudflare Security・AdGuard DNS・CleanBrowsing 四種安全 DNS 供應商中選擇。 |
| 復原子選單 | 可執行「緊急恢復網路」（在無法通訊時強制恢復）與「解除安裝」。 |
| 登入時自動啟動 | 設定每次登入作業系統時是否自動啟動 RoamSwitch 的開關。為了持續保護，建議保持開啟狀態。 |
| 語言子選單 | 切換系統匣選單的顯示語言。除了「跟隨系統」之外，共有 10 種語言可選：日本語・English・简体中文・繁體中文・한국어・Français・Deutsch・Español・Italiano・Português。 |
| 開啟主視窗 | 開啟第 3 章之後說明的詳細設定畫面。 |
| 結束 | 結束 RoamSwitch。結束期間自動保護將無法運作。 |
操作步驟
- 立即切換保護等級：點選系統匣圖示，再點選 Lockdown、Balanced 或 Open 其中之一。接著在顯示的持續時間清單（直到下次中斷連線／1 小時／2 小時／4 小時／今日內／直到手動解除為止）中，點選想維持的期間即可套用。
- 恢復自動判斷：點選系統匣圖示 →「恢復自動判斷模式」。
- 切換安全 DNS 供應商：點選系統匣圖示，將游標移到 DNS 子選單上，再點選您想使用的供應商。
- 無法通訊時：點選系統匣圖示 → 復原子選單 →「緊急恢復網路」。
- 變更顯示語言：點選系統匣圖示 → 語言子選單，再點選想使用的語言。
在螢幕較小或 DPI 縮放較高的環境中，Lockdown／Balanced／Open 這三個項目有時會合併顯示在單一個「保護等級」子選單中（顯示內容相同）。
3. 開啟主視窗的方法
透過系統匣選單的「開啟主視窗」，或點選狀態顯示列，即可開啟主視窗。與 macOS 版「依功能個別開啟視窗」的方式不同，這裡的所有設定都集中在透過左側側邊欄切換 19 個分頁（區塊）的單一大視窗中。以下章節將依這個側邊欄的排列順序逐一說明。
4. 🌐 Network Management
側邊欄最上方的分頁。負責登錄目前所在的網路，以及管理已登錄網路的清單。
| 卡片 | 說明 |
|---|---|
| 目前連線中的網路 | 顯示目前的網路名稱，以及「登錄」此地點的按鈕。若已登錄，則改為顯示目前的安全等級。 |
| 手動切換安全政策 | 與 Mac 版「手動覆寫」相同的功能。暫時忽略自動判斷，固定為指定的等級。 |
| 自動共享服務控制 | 在您身處不受信任的網路期間，自動停用檔案共享等服務的功能。 |
| 已登錄的網路清單 | 可列出並編輯至今登錄過的所有網路，以及各自的安全等級。 |
操作步驟
- 登錄目前的網路：點選「目前連線中的網路」卡片的「登錄」按鈕，選擇名稱與安全等級後點選「儲存」。
- 編輯或刪除已登錄的網路：從「已登錄的網路清單」中選擇目標行，點選鉛筆圖示可編輯，點選垃圾桶圖示可刪除。
- 暫時固定等級：在「手動切換安全政策」卡片中選擇等級與持續時間，點選「套用」。
5. 📊 Security Diagnostic Suite
為 Linux 機器的安全設定評分的綜合診斷分頁。上方顯示分數與標題，下方則排列各檢查項目的合格與否清單。相當於 Mac 版的「Mac 安全綜合診斷」。建議養成定期開啟此分頁、確認是否還有紅色或黃色項目殘留的習慣。
操作步驟 以紅色或黃色顯示的項目右側備有處理按鈕。點選後多半可當場修正，分數也會自動更新。
6. 🚪 Ports & DevIsolator
在所有分頁中內容最多的一個分頁。從開發伺服器連接埠暴露的防護，到 ARP 異常偵測、Sensor 配對、漏洞診斷，與網路邊界相關的功能都集中於此。
| 卡片 | 說明 |
|---|---|
| 公開連接埠 & 開發伺服器隔離 | 列出從外部可存取且處於開啟狀態的連接埠（例如忘記關閉的開發伺服器），並管理其隔離與封鎖。 |
| 連接埠・ARP 異常自動封鎖 | 偵測到 ARP 欺騙或可疑連接埠掃描時，自動封鎖通訊的設定。 |
| 已配對的 Sensor 清單 | 列出已與另一項產品「RoamSwitch Sensor」連動的裝置。 |
| 使用配對代碼手動配對 | 輸入 Sensor 發出的配對代碼，即可與新的 Sensor 連動。 |
| Sensor 診斷結果 | 查看已連動的 Sensor 回報的診斷結果。 |
| 實證型漏洞診斷狀態 | 顯示對開放連接埠實際進行到達確認後的漏洞診斷結果狀態。 |
操作步驟
- 隔離開發伺服器的連接埠：在「公開連接埠 & 開發伺服器隔離」卡片的清單中選擇目標連接埠，點選「隔離」或「封鎖」。
- 配對 Sensor：在「使用配對代碼手動配對」卡片的輸入欄中，輸入 Sensor 端發出的代碼，並點選「連動」。
7. 🔌 USB & BadUSB Guard
| 卡片 | 說明 |
|---|---|
| USB／BadUSB 防禦 | 切換是否啟用防範「BadUSB」攻擊的保護——這類攻擊會偽裝成 USB 隨身碟，實際上卻表現得像鍵盤，執行未經授權的操作。 |
| 連接中的 USB・HID 裝置 | 列出目前連接中的 USB、鍵盤、滑鼠等裝置。 |
| 已允許的 USB 裝置（白名單） | 預先登錄已確認安全的裝置，讓警告只針對其餘未知裝置的連線發出。 |
操作步驟
- 點選「USB／BadUSB 防禦」卡片上的開關以啟用。
- 從「連接中的 USB・HID 裝置」清單中選擇往後仍會使用的裝置，點選「加入許可清單」。
8. 🦠 Malware & Quarantine
彙整了 ClamAV 防毒防護，以及 Linux 特有的低層防禦（fanotify・熵值分析・YARA・不可執行保護）的分頁。
| 卡片 | 說明 |
|---|---|
| ClamAV 病毒碼資料庫 & 引擎狀態 | 確認病毒碼的最後更新時間，以及引擎的運作狀態。 |
| Linux 低層進階防禦 | 統一設定 fanotify（檔案存取當下的即時檢查）、熵值分析（偵測勒索軟體式加密行為）、YARA 規則比對、強制不可執行屬性等項目。偵測到類似勒索軟體的寫入暴增時，會凍結相應行程並同時切斷網路（Air-Gap）。 |
| ClamAV 隨選掃描 | 立即手動掃描指定的資料夾。 |
| 隔離保險庫 | 可還原或永久刪除被判定為惡意軟體而遭隔離的檔案。 |
| 監控資料夾（Web・郵件保護） | 設定要在每次出現新檔案時自動掃描的對象，例如下載資料夾。 |
| 掃描排除設定 | 指定要從掃描對象中排除的資料夾，例如開發用的目錄。 |
| 可疑自動啟動通知 | 檢查新建立或被改寫的自動啟動項目（systemd、cron、桌面自動啟動），只對看起來像惡意軟體持久化手法的項目發出通知（預設開啟，僅通知）。 |
操作步驟
- 立即掃描：在「ClamAV 隨選掃描」卡片中選擇目標資料夾，點選「開始掃描」。
- 處理隔離的檔案：在「隔離保險庫」卡片的清單中選擇檔案，點選「還原」或「永久刪除」。
- 新增監控資料夾：在「監控資料夾」卡片的「新增資料夾」中選擇下載資料夾等位置，點選「儲存」。
9. 🛡️ DNS Threat Guard
在 DNS 層級封鎖對釣魚網站與惡意軟體指令伺服器（C2）的名稱解析的功能。從下拉選單選擇供應商（例如 Quad9），並以「適用範圍」設定要套用在哪些網路。此功能與系統匣選單（第 2 章）的 DNS 子選單連動。
操作步驟 開啟開關後，從「安全 DNS 供應商」下拉選單選擇想使用的供應商，再於「適用範圍」設定要套用在哪些網路。
10. 🔒 VPN Tunnel Pro
在不受信任的網路上為通訊加密的 VPN 功能。狀態卡片可確認目前的連線狀況，設定卡片則用於管理連線對象（例如匯入 WireGuard 設定）。概念與 Mac 版 11.2 節相同，用於在不受信任的網路上防範通訊竊聽與竄改。
操作步驟
- 在設定卡片的「後端」中選擇 WireGuard 或 Tailscale。
- 若使用 WireGuard，請從「匯入設定檔」選擇
.conf檔案；若使用 Tailscale，請點選「登入」，在瀏覽器中完成帳號驗證。 - 設定完成後點選「連線」。當狀態卡片顯示為「連線中」時，即代表 VPN 已啟用。
11. 🔑 Secret & API Key Audit
掃描家目錄與設定檔中，是否殘留了不慎以明文儲存的 API 金鑰、密碼、權杖等機密資訊的稽核工具。有助於預防開發者不慎將機密資訊留在儲存庫或設定檔中的意外。
操作步驟 點選「開始掃描」即可開始稽核，完成後會列出偵測結果（檔案路徑與類型）的清單。
12. 📜 Security Log Audit
用於稽核與瀏覽 RoamSwitch 及 Linux 系統所記錄之安全相關日誌的分頁。可依時間順序追蹤過去偵測到什麼、又是如何應對的。
13. 🔔 Notifications
RoamSwitch 在過去 7 天內顯示過的通知記錄一覽。即使錯過了系統匣的通知，也能在這裡事後確認。
14. 🕒 Incident Timeline
可將偵測、應對、解除等安全事件依時間順序彙整回顧的畫面（實驗性功能）。比起逐一追蹤個別記錄，更適合想掌握事件全貌時使用。
15. 🔎 Security Activity Log
可在同一畫面中橫跨檢索並視覺化 RoamSwitch 迄今偵測、通知或處理過的所有內容。它將第 14 章的「Incident Timeline」與第 13 章的「Notifications」整合到一個畫面中，可依時間範圍、類別、嚴重度與關鍵字篩選。這與第 12 章的「Security Log Audit」(稽核 journald 等作業系統端記錄的分頁)不同，此分頁用於回顧 RoamSwitch 自身已經偵測、通知或處理過的內容。
操作步驟 以時間範圍、類別、嚴重度下拉選單與關鍵字搜尋欄縮小範圍後，點擊畫面上方長條圖中的特定時間段，即可將清單縮小為該時間段的事件。要取消縮小範圍，請點擊「取消篩選」按鈕。
16. 🔗 Link Safety Audit
彙整了連結保護設定，以及可貼上單一 URL 當場檢查的手動確認工具的分頁。相當於 Mac 版第 9.5 節、9.6 節的內容。
操作步驟 若想當場檢查 URL，請將想確認的 URL 貼到「手動檢查」卡片的輸入欄中，並點選「檢查」。幾秒後即會顯示安全性判定結果。
17. 📦 Package CVE Scan
從作業系統的套件管理系統，到依開發語言區分的套件，涵蓋範圍廣泛的漏洞與供應鏈防護分頁。
| 卡片 | 說明 |
|---|---|
| 作業系統套件 CVE 掃描 | 比對 dpkg／pacman／dnf／zypper 等發行版的套件管理系統，確認是否存在已知漏洞（CVE）。 |
| 開發依賴套件 CVE 掃描 | 比對 npm・PyPI・crates.io・RubyGems・Packagist・Go・Maven 等開發專案依賴套件中的漏洞。 |
| 依賴套件鎖定檔竄改監控 Pro | 監控 package-lock.json 等鎖定檔是否遭到不當竄改。 |
| 安裝腳本清單 Pro | 列出套件安裝時會執行的腳本，讓您可以檢查是否有可疑行為。 |
| 打字搶注偵測（Typosquatting）Pro | 偵測是否安裝了刻意模仿正規套件名稱的偽造套件（打字搶注，Typosquatting）。 |
| npm 簽章・來源驗證（選擇啟用）Pro | 驗證 npm 套件的簽章與來源資訊，確認未遭竄改的附加檢查。 |
在 Ubuntu（20.04、22.04、24.04、26.04）上，作業系統套件 CVE 掃描使用 Ubuntu 專用資料，依來源套件名稱與來源版本比對。比對的只有 Ubuntu 已發布修復的高風險 CVE（CVSS 7.0 以上）。尚未發布修復的、尚未評估的，以及 Ubuntu 決定不修復的 CVE 不在其中，因此「無符合項目」不代表沒有已知 CVE。核心由現有的核心 CVE 資料負責，不包含在此次比對中。只有 Ubuntu Pro（ESM）才能取得的修復，會帶有 🔒 標記與「此修復僅透過 Ubuntu Pro（ESM）提供」的提示。在 Linux Mint、Pop!_OS 等衍生版與不支援的版本上，會顯示「此 Ubuntu 不在 CVE 比對的支援範圍內」。這種情況下也不會改用 Debian 的資料，以避免誤報。Ubuntu 的資料帶有簽章，只傳送給 Ubuntu 裝置（約 4 MB）。尚未安裝的裝置會在下一次每日更新時取得，之後約每 30 天確認一次。Debian、Arch、RHEL 系與 SUSE 的比對與以前相同。
操作步驟
- 在「作業系統套件 CVE 掃描」或「開發依賴套件 CVE 掃描」卡片中，點選「開始掃描」。
- 完成後會顯示相符的漏洞清單，每個項目都會附上處理方法（例如更新指令）。
18. 💎 Pro License
彙整了免費版隨附功能的清單、於伺服器／VPS／雲端／裸機環境運作時的商業資訊，以及可統一管理多台機器的 Fleet 面板存取入口。Pro 版的授權啟用也在此進行。
操作步驟
- 在授權金鑰輸入欄貼上金鑰，點選「啟用」。
- 若您尚未持有金鑰，可點選「購買」進入購買流程。啟用成功後，此分頁與系統匣選單的顯示都會隨之更新。
19. 🧰 Recovery & Uninstall
當網路不慎持續被阻擋時的緊急復原，以及解除安裝的入口集中在此分頁（功能與系統匣選單的「復原」子選單相同，並附有更詳細的說明）。
操作步驟
- 通訊中斷時的緊急復原：點選「緊急恢復網路」按鈕，並在確認對話框中選擇「恢復」。
- 解除安裝時：請依照此分頁的指引操作，或在終端機中執行對應您所用套件格式的指令（例如：
sudo apt purge roamswitch）。詳情請參閱解除安裝步驟。
20. 📖 Help & Guide
應用程式內建的說明畫面。內容涵蓋基本使用方式，到各項功能的補充說明皆一應俱全。請搭配本份網頁手冊一併使用。
21. 🌐 Language
設定主視窗的顯示語言。此處可選的語言與系統匣選單本身的語言設定（第 2 章）相同。
操作步驟 從下拉選單選擇想使用的語言，主視窗的顯示會立即切換。
22. ℹ️ About RoamSwitch
彙整了版本資訊、一般設定、開發商資訊、授權條款、安全政策、隱私權政策、使用條款（EULA）、免責聲明、商標與著作權標示等應用程式的基本資訊與法律資訊。聯絡支援單位時，請先在此分頁確認版本編號。
23. 🔄 Upgrade
可確認應用程式本體的自動更新狀態、套件更新狀態，以及威脅定義／詐騙網站清單更新狀態的分頁。若您是透過發行版的套件管理員安裝，通常會隨一般系統更新一併自動保持最新。
24. 🛟 勒索軟體復原(快照與依檔案復原)
在側邊欄的「勒索軟體復原」分頁中，針對您的家目錄，可從損害發生前自動建立的快照中安全地只取出所需的檔案或資料夾。目前檔案不會被覆寫。（標準桌面版自 Linux 1.11.21 起提供。）
快照分為三種。「損害前(預先)」快照與是否受損無關，按固定間隔(預設每 6 小時)自動建立。「偵測時」快照會在偵測到類似勒索軟體的行為時一定建立。「手動」快照是您自己用指令建立的。
取出檔案時，請選擇標有「★ 推薦」的「損害前(預先)」快照。 偵測時: ⚠ 此快照在偵測之後建立,包含已被加密的檔案,不能用於復原到加密之前(用於保全未受損內容並留作證據)。
取出的檔案不會覆寫目前檔案，而是放到獨立的資料夾中(預設為目標資料夾內的 RoamSwitch-Recovered/快照ID/)。
損害前的快照預設每 6 小時自動建立一次（btrfs 保留 4 代，LVM 保留 2 代）。可用指令 sudo roamswitch-ransomware-rollback config set --periodic-interval-secs <N> 修改間隔（0 表示停用，其他值須為 300 秒以上）。建立偵測時快照後，為避免已加密的資料擠掉最後一份完好的版本，會暫停事前快照 7 天。偵測時的快照無論此設定為何都會建立。
支援的對象是 btrfs 與 LVM。在沒有這些對象的環境中，會顯示如下提示。 無法取得快照清單(未安裝勒索軟體回復,或沒有 btrfs/LVM 目標)。
整體回復（進階，僅指令）：sudo roamswitch-ransomware-rollback restore <ID>。注意：目前狀態會被所選快照的內容覆寫。請先嘗試「取出檔案」和「取出資料夾」。偵測時的快照在不加 --accept-tampered 時會被拒絕。
也可以透過命令列使用(roamswitch-ransomware-rollback)。詳情請參閱 CLI / 無頭運作頁面。
25. 🕸️ Web Shell 與注入程式碼偵測(Web Rules)
用專用規則找出 PHP、JavaScript、JSP、ASP 的 Web Shell、被注入的混淆程式碼、偽裝成圖片的 PHP 以及 .htaccess 濫用。在開發 Web 應用的電腦上，專案資料夾同樣在偵測範圍內。不需任何設定：檔案在寫入或開啟時會被自動檢查。規則隨產品附帶，並透過每日更新（僅接收）更新。（自 Linux 1.11.23 起。）
發現問題時會出現確認對話框（「偵測到危險檔案」），顯示檔案名稱與位置，按鈕有三個：「稍後」「允許（今後不掃描）」「移入隔離區」。在您選擇之前，不會對檔案做任何處理。選擇「移入隔離區」後，檔案會被移到隔離區（之後可在「惡意軟體與隔離」分頁中還原）。若正在開發的程式碼被提示，請先檢視其內容再做選擇。選擇「允許」後，該檔案今後不再被檢查。
要成批檢查資料夾，請使用指令 roamswitch web-scan <資料夾>。預設只檢查、不移動任何檔案。結果會顯示嚴重度（CRITICAL / HIGH / MEDIUM）、規則名稱與說明。結束碼：無符合為 0，發現 critical 或 high 為 2（可用於 CI 等）。--json 輸出 JSON，--no-default-excludes 會連 tests/、fixtures/、.git/ 之下也一併檢查；這些位置因測試程式碼會使用相同寫法，預設不檢查。用 roamswitch web-rules 可檢視規則版本與狀態。
這些是進階設定。自訂規則放在 /etc/roamswitch/rules.d/*.json（只讀取 root 所有且他人不可寫的檔案；範本見 roamswitch web-rules example rules，驗證用 roamswitch web-rules validate <檔案>）。若要在每次偵測時呼叫自己的腳本，請在 /etc/roamswitch/hooks/post-detection 放置可執行檔（偵測內容會以 JSON 透過標準輸入傳入；範本見 roamswitch web-rules example hook）。隔離層級等選項在 /etc/roamswitch/web_rules.conf 中設定（roamswitch web-rules example conf）。
限制：寫入/執行時只讀取檔案開頭 256 KB，掃描時讀取開頭 4 MB；無法追蹤變數名稱拼接（'ev'.'al'）這類拆分；因沒有真實樣本，未附帶針對已知惡意軟體的個別簽章。懷疑誤報時，請選擇「允許」，或用自訂規則排除。
26. 🤖 AI 代理設定稽核
此頁面檢查提供給 AI 代理（Claude Code、Codex、Cursor、Gemini、OpenClaw 等）的指示檔與技能，以及 OpenClaw 的設定檔中是否有危險內容。在左側選單開啟「🤖 AI 代理設定稽核」並按下「執行稽核」，即以唯讀方式檢查。檢查對象是主目錄中的 ~/.claude（CLAUDE.md、commands、agents、skills）、~/.codex、~/.cursor/rules、~/.gemini、~/.agents、~/.openclaw，以及在「套件 CVE 掃描」中登錄的專案資料夾裡的 CLAUDE.md、AGENTS.md、.cursorrules 等。不進行任何網路通訊，檔案本文以及金鑰、權杖的值既不會顯示在畫面上，也不會出現在結果中。
會尋找隱藏在不可見 Unicode 字元中的指示、「忽略之前的指示」「不要告訴使用者」之類的措辭、下載指令碼後直接執行的寫法（curl … | sh）、解碼字串後執行的寫法、對機密檔案（SSH 金鑰、雲端憑證等）的引用及其附近的外送、技能中的已編譯程式碼、其他使用者可寫入的檔案，以及 OpenClaw 的驗證被關閉、不足 24 個字元的權杖、允許所有網站的設定和以 dangerously 開頭的危險開關。HTML 註解（渲染 Markdown 後會消失的部分）中的內容會以較高風險處理。
結果分為「重大性：高」和「中」，每項都會顯示檔案位置、行號和原因。符合只表示「需要人來讀一讀」，並不斷定為惡意；講解攻擊手法的文件或用於提醒的範例句也可能被符合。無法讀取的檔案會單獨列出，不會被說成「沒有發現問題」。命令列為 roamswitch audit-agent-setup [資料夾…] [--json]。AI 助理可透過 MCP 工具 audit_agent_setup 取得相同的結果。
27. 🔐 SSH 暴力破解的阻斷與入侵路徑通知（無介面）
僅當這台裝置上的 SSH（sshd）在執行時，才會監視 SSH 登入失敗，並阻斷在短時間內反覆失敗的來源的新連線。該來源已建立到 SSH 的連線也會被切斷，但已驗證的工作階段與寫入排除清單的來源不會被切斷。在 sshd 沒有執行的裝置上，不讀取任何內容，也不更動任何內容。沒有設定介面，透過 ~/.config/roamswitch/config.json 中的 ssh_guard_*（10 個鍵，參見 CLI / 無介面維運 中的設定表）來修改。通知為桌面通知，也會保留在歷史記錄中。
正在阻斷的來源清單用 sudo roamswitch bans 查看，用 sudo roamswitch unban <IP> 解除（全部解除用 --all）。在用戶端的預設防護等級下，入站是關閉的，連線可能根本到不了 SSH，這時阻斷起作用的場合也會變少。當 fail2ban 或 CrowdSec 已在保護 sshd 時，RoamSwitch 會讓出阻斷，只做偵測與通知。
通知關鍵檔案被竄改的訊息（FIM）中，會附上做出修改的行程，以及該行程所屬的 SSH 登入（來源、時間、驗證方式）。憑證檔案存取的通知，只有在屬於某個 SSH 登入時才會附上。無法查明時，會寫「無法查明登入路徑」，而不會寫成不是登入。要關閉，請在 config.json 中寫入 "fim_intrusion_context_enabled": false。