SuperAPI AI 工具集
合作ENAI 行业资讯收藏
Skill 广场alibabacloud-sas-openclaw-security

alibabacloud-sas-openclaw-security

安全与审计

查看项目

更新于 10-15 14:26

技能介绍

用途

该技能用于对 OpenClaw 环境执行安全运营，通过 aliyun CLI 调用阿里云安全中心（SAS）和 ECS API，覆盖资产查询、安全检查、风险分析与修复指引等环节。

工作流程

按以下顺序执行安全运营：

  1. 查询实例：了解 OpenClaw 部署情况（SCA 组件查询）
  2. 安全检查：三维度检查——漏洞、基线、告警
  3. 深入分析：对已识别风险进行关联分析
  4. 修复：参考修复指南处理风险（仅提供指引）
  5. 推荐：根据风险推荐阿里云安全产品
  6. 日报：生成安全日报摘要

详细工作流见 references/security_workflow.md。

前置条件

所有 API 调用均通过 aliyun CLI 完成，使用前需完成以下步骤：

  • 预检查：要求 aliyun CLI >= 3.3.3。运行 aliyun version 验证；若未安装或版本过低，运行 curl -fsSL https://aliyuncli.alicdn.com/setup.sh | bash 更新。
  • 预检查：需更新 aliyun CLI 插件。必须运行 aliyun configure set --auto-plugin-install true 启用插件自动安装；必须运行 aliyun plugin update 确保已有插件保持最新。
  • 必须设置 CLI User-Agent：每次调用 aliyun CLI 命令都必须包含 --user-agent AlibabaCloud-Agent-Skills/alibabacloud-sas-openclaw-security。

确认 aliyun CLI 已安装

运行 aliyun version 检查安装状态。

检查凭证配置

运行 aliyun sts get-caller-identity。若尚未配置，运行 aliyun configure 并按提示操作。凭证存储在 ~/.aliyun/config.json。不要在脚本或环境变量中硬编码 AK/SK，统一通过 aliyun configure 管理凭证。任何情况下都不得明文输出凭证，包括 access_key_id 和 access_key_secret。

region-id 处理说明

使用安全中心（SAS）和安全护栏（AISC）功能时，仅支持两个地域：cn-shanghai（中国大陆）和 ap-southeast-1（中国大陆以外）。使用云助手（ECS）功能时，region-id 直接与 ECS 实例地域绑定。可通过 query_asset_detail 按安全中心 UUID 查询实例的 region-id。

确认 RAM 权限

本技能中的所有 CLI 调用都需要各云服务对应的 RAM Action 授权。最小权限策略记录在 references/ram-policies.md。

关于 User-Agent

通过 base_client.py 发起的所有 aliyun CLI 调用会自动附加 --user-agent AlibabaCloud-Agent-Skills/alibabacloud-sas-openclaw-security，无需手动配置。

快速开始

查询 OpenClaw 实例

列出所有已部署的 OpenClaw 组件，显示主机名、IP 和版本。

python -m scripts.query_openclaw_instances \
    --name-pattern openclaw --biz sca_ai

查询资产详情

按 UUID 查询单台机器的详细信息（操作系统、IP、磁盘、客户端状态等）。

python -m scripts.query_asset_detail --uuid <UUID>
# 多个 UUID 用逗号分隔
python -m scripts.query_asset_detail --uuid <UUID1>,<UUID2>

检查漏洞

查询与 OpenClaw 相关的未解决紧急漏洞，输出带修复建议的漏洞列表。

python -m scripts.check_openclaw_vulns \
    --name "emg:SCA:AVD-2026-1860246" --type emg --dealed n
# 仅查看严重漏洞
python -m scripts.check_openclaw_vulns --necessity asap

检查基线风险

按 UUID 查询基线检查结果摘要。指定 --risk-id 可深入查看特定风险项的检查详情。

# 仅摘要
python -m scripts.check_openclaw_baseline --uuid <UUID>
# 深入特定风险项
python -m scripts.check_openclaw_baseline --uuid <UUID> --risk-id 320

检查告警

查询未处理的安全告警，可按严重程度或主机过滤。

python -m scripts.check_openclaw_alerts --dealed N
# 仅查看严重告警
python -m scripts.check_openclaw_alerts --dealed N --levels serious
# 按特定主机过滤
python -m scripts.check_openclaw_alerts --uuids <UUID1>,<UUID2>

推送检查任务

为指定机器触发漏洞扫描和基线检查。执行前请确认 UUID。

python -m scripts.push_openclaw_check_tasks --uuid <UUID>

安装安全护栏

通过云助手将安全护栏部署到指定 ECS 实例，自动等待安装完成并输出结果。

python -m scripts.install_security_guardrail \
    --instance-ids i-abc123 --region cn-hangzhou
# 多台机器
python -m scripts.install_security_guardrail \
    --instance-ids i-abc123,i-def456

查询护栏状态

通过云助手检测目标机器上安全护栏的运行状态，用于安装后验证。

python -m scripts.query_guardrail_status \
    --instance-ids i-abc123 --region cn-hangzhou

运行云助手命令

在 ECS 实例上远程执行任意 Shell 命令，实时等待结果并返回输出。

python -m scripts.run_cloud_assistant_command \
    --instance-ids i-abc123 \
    --command "uname -a" \
    --region cn-hangzhou

注意事项：

  • 云助手地域必须与 ECS 实例地域一致。SAS 默认 cn-shanghai；ECS 默认 cn-hangzhou。
  • 命令中的 $() 需转义为 $()。
  • 执行前必须明确告知用户完整命令并获得明确确认。

生成安全日报

一键聚合四个维度——实例、漏洞、基线、告警——输出 Markdown 报告到 output/ 目录。

python -m scripts.generate_security_report

脚本参考

脚本 用途 必需参数 常用可选参数
query_openclaw_instances.py 查询 OpenClaw SCA 实例列表 — --name-pattern, --biz, --max-pages
query_asset_detail.py 按 UUID 查询资产详情（主机/操作系统/磁盘/客户端状态） --uuid --region
check_openclaw_vulns.py 查询未解决漏洞 — --name, --type, --dealed, --necessity, --uuids
check_openclaw_baseline.py 按 UUID 查询基线检查结果 --uuid --risk-id（深入特定风险项）
check_openclaw_alerts.py 查询安全告警事件 — --dealed, --levels, --uuids, --name
push_openclaw_check_tasks.py 推送漏洞和基线检查任务（触发扫描） --uuid --tasks
get_ai_agent_plugin_command.py 获取 AI 安全助手安装命令 — --output-dir
install_security_guardrail.py 通过云助手安装安全护栏 --instance-ids --region, --timeout, --username
query_guardrail_status.py 通过云助手查询护栏安装/运行状态 --instance-ids --region, --timeout
run_cloud_assistant_command.py 通过云助手在 ECS 上远程执行命令 --instance-ids, --command --region, --type, --timeout, --username
generate_security_report.py 聚合四维安全日报（实例/漏洞/基线/告警） — --vuln-name, --name-pattern, --region

所有脚本均支持 --region 和 --output-dir 参数（run_cloud_assistant_command.py 不支持 --output-dir）。

云助手安全规则

通过云助手执行任何命令前，必须遵循以下规则：

  1. 明确告知用户将要执行的完整命令内容。
  2. 要求用户在执行前明确确认（回复同意）。
  3. 若用户未确认或命令为高风险，禁止执行。

输出策略

所有查询结果和报告保存到 output/ 目录：

  • JSON 格式：原始 API 响应数据，供程序化消费
  • Markdown 格式：人类可读报告，供展示和归档

参考资料

  • API 参数参考
  • 安全运营工作流
  • 修复与产品推荐
  • RAM 权限策略