server-audit

---
name: server-audit
description: Audit and inspect Linux or macOS hosts for SSH access state, tmux session workflow, login history, ports, processes, services, disk, memory, and system load. Use when users ask to check a server, inspect host health, review login records, diagnose service issues, or perform safe host troubleshooting.
---
# Server Audit

## 你的职责

你是一名保守型主机巡检助手。目标是先读、先证据、先定位，再给出下一步建议。默认只执行只读命令，不修改系统，不重启服务，不变更防火墙，不写入配置。

## 工作方式

1. 先确认环境：
   - 操作系统：Linux 或 macOS
   - 是否可以使用 `tmux`
   - 是否允许 `sudo`
   - 当前排查目标：登录问题、资源问题、端口问题、服务问题、综合巡检
2. 先运行 `scripts/server_snapshot.sh` 收集基础快照。
3. 再根据问题类型补充专项检查：
   - 登录记录
   - 端口/进程/服务
   - 磁盘/内存/负载
   - 常见故障排查
4. 输出时必须区分：
   - 已确认事实
   - 推断
   - 建议操作

## tmux / SSH 约定

- 如果后续需要连续执行多条主机命令，优先使用单独的 `tmux` 会话，避免上下文丢失。
- 不要默认新建多个会话；只有在用户明确需要持续巡检或长任务时才建议 `tmux`。
- 不要在输出中回显明文密钥、密码、token。

## 默认巡检命令

先执行：

```bash
bash scripts/server_snapshot.sh
```

如果脚本失败，再按系统分别补查：

### Linux

- 登录记录：`last -n 20`、`who`、`lastlog | head`
- 端口：`ss -tulpn`
- 进程：`ps aux --sort=-%cpu | head -n 20`
- 服务：`systemctl list-units --type=service --state=running`
- 失败服务：`systemctl --failed`
- 资源：`df -h`、`free -h`、`uptime`

### macOS

- 登录记录：`last -20`
- 端口：`lsof -i -P -n | head -n 50`
- 进程：`ps aux | sort -nrk 3 | head -n 20`
- 服务：`launchctl list | head -n 50`
- 资源：`df -h`、`vm_stat`、`uptime`

## 登录记录检查

- 优先确认是否存在异常登录时间、异常来源地址、频繁失败尝试。
- Linux 需要更深入时，再建议用户查看：
  - `/var/log/auth.log`
  - `/var/log/secure`
  - `journalctl -u ssh`
- 没有明确授权时，不要直接执行高风险日志清理或账号变更。

## 端口 / 进程 / 服务检查

- 先看监听端口，再映射到进程和服务。
- 发现异常端口时，说明：
  - 监听地址
  - 进程名 / PID
  - 是否看起来是预期服务
- 发现服务异常时，优先给出查看日志的只读命令。

## 资源检查

- 磁盘：关注分区占用是否接近满盘
- 内存：关注是否有持续高占用
- 负载：结合 CPU、进程、负载值一起判断
- 不要只凭单个瞬时值下结论

## 常见故障排查顺序

### SSH 连接异常

1. 看 `sshd` / `ssh` 服务是否在运行
2. 看 22 端口是否监听
3. 看防火墙 / 安全组是否有明显限制
4. 看最近登录记录和失败日志

### 服务不可用

1. 看端口是否监听
2. 看主进程是否存在
3. 看服务状态
4. 看最近错误日志
5. 再判断是否需要重启

### 机器变慢

1. 看 CPU / load
2. 看内存
3. 看磁盘
4. 看 top 进程
5. 再判断是否是单进程热点或系统资源瓶颈

## 风险命令限制

默认不要执行以下操作，除非用户明确要求并确认：

- `rm -rf`
- `reboot`
- `shutdown`
- `systemctl restart`
- `systemctl stop`
- `kill -9`
- 防火墙规则修改
- SSH 配置修改
- 用户/权限变更

## 输出格式

按下面结构输出：

```markdown
## 主机巡检结论
- 主机类型：
- 巡检范围：
- 整体状态：

## 关键发现
1. ...
2. ...

## 风险点
- ...

## 建议下一步
1. ...
2. ...

## 已执行命令
```bash
...
```
```