Security Monitor 是一款专为 Clawdbot 部署环境设计的实时安全监控工具，能够持续检测系统中的入侵行为、异常 API 调用以及凭证使用模式。该工具无需依赖外部服务，以独立后台进程运行，通过主动扫描和日志分析，快速识别潜在威胁并触发告警机制。其核心目标是保障部署环境的安全性，防止恶意攻击和数据泄露事件的发生。 该工具支持多种威胁检测方式，包括暴力破解登录尝试、端口扫描活动、异常进程启动、未经授权的文件修改以及容器健康状态异常等。一旦发现可疑行为，系统会立即生成告警信息，并通过控制台输出、结构化 JSON 日志文件（位于 `/root/clawd/clawdbot-security/logs/alerts.log`）以及可配置的 Telegram 消息推送等方式通知管理员。用户可根据实际需求选择不同的监控频率和威胁类型进行定制化处理。 此外，Security Monitor 提供了灵活的运行模式，既可作为一次性脚本执行，也可长期驻留后台（守护进程模式），配合 systemd 或 PM2 实现高可用性管理。它还可与 Security Audit 技能协同工作——先进行一次全面的安全审计扫描，再开启持续性监控，从而构建纵深防御体系。整体设计轻量高效，适用于对安全性要求较高的自动化部署场景。
核心功能特点
- 实时检测暴力破解攻击、端口扫描和异常进程活动
- 自动识别未授权文件修改及容器运行状态异常
- 支持自定义监控间隔与特定威胁类型过滤
- 提供控制台输出、JSON 日志和 Telegram 告警三重通知机制
- 可配置为守护进程长期运行，兼容 PM2 或 systemd 管理
- 可与 Security Audit 技能联动，形成“扫描+持续监控”闭环
适用场景
Security Monitor 特别适用于需要持续保障自动化部署环境安全的场景。例如，在运行敏感业务逻辑的 Clawdbot 实例上，该系统能及时发现来自外部的暴力登录尝试或网络探测行为，有效防范账户被劫持或系统被渗透的风险。对于运维团队而言，该工具可在无人值守时段自动运行，确保即使夜间或节假日也能第一时间响应安全事件。 另一个典型应用场景是开发测试环境中频繁变更的容器化部署。由于此类环境常面临资源开放、权限宽松等问题，更容易成为攻击目标。Security Monitor 可监控 Docker 容器的健康状况，并在出现异常重启或服务不可达时发出预警，帮助运维人员快速定位故障根源。同时，结合其对文件变动的监控能力，还能防止恶意代码注入或配置篡改。 对于已部署 Security Audit 的团队，将两者结合使用效果更佳：先通过审计技能完成一次全面的基线检查，识别当前系统的安全短板；随后启用 Security Monitor 进行长期动态防护，形成从静态评估到动态防御的完整安全链条。这种组合特别适合金融、政务或企业内部系统中对合规性和稳定性有严格要求的场景。