用途：审计单台 Linux 主机（或其配置即代码）在数据丢失后是否真能恢复。全程只读：列定时器、grep 配置、stat 文件、读文档；不运行、触发、试跑任何备份或恢复，不创建/移动/删除归档。需要 root 的命令标记 [ROOT]；若无 root，仅审计 cron 与 unit 文件中可读部分并如实说明。
主要能力：1）枚举定时捕获机制（systemd timers、系统与用户 crontab、手写脚本），按名称与内容匹配 backup|dump|rsync|restic|borg|sync|snap。2）建立“存在但需捕获”的数据清单并与作业实际引用路径做差集，未被引用即为覆盖缺口。3）判断捕获方式安全性：禁止对运行中数据库做文件系统拷贝（损坏陷阱），要求 pg_dump、mysqldump --single-transaction 等逻辑导出；检查 rsync 排除规则是否静默丢弃 .env 与密钥。4）目标分层：同文件系统/设备（Tier 0）、同机或局域网第二盘/NAS（Tier 1）、异地 VPS/对象存储（Tier 2），再加离线/不可变层；按 3-2-1-1-0（三份副本、两种介质、一份异地、一份离线/不可变、恢复测试零错误）评分。5）加密与密钥保管：识别 restic/Borg 默认客户端加密与裸 tar/rsync 明文风险，定位解密材料，应用密钥分离规则（密钥不得仅存于归档旁或仅存于被备份主机）。6）监控与验证：失败告警、零字节/异常小输出、校验清单、大小趋势基线。7）可恢复性证据：runbook、演练历史、RTO/RPO、恢复顺序表；未找到文档记为发现而非“不可能”。8）勒索软件韧性：生产与备份管理凭据面分离、不可变/离线层、删除保护窗口、金丝雀诱饵、加密前指标监测、恢复路径独立性。
使用方式：依据仓库中 tools/sweeps/sweep-backups.sh 采集 [DRB-nn] 段落证据，再按本模块评分标准判断，而非直接采信原始输出。提供的只读扫描命令可用于枚举与分类，但不得执行任何写入或触发操作。若审计中断，须报告已完成与未完成的小节，不得暗示做过未做的扫描。
适用场景：Linux 服务器的备份卫生与灾难恢复就绪度评估，尤其是勒索软件威胁模型下的差距分析。
限制与范围外：不负责数据库引擎加固、密钥内容与 env 权限、日志传输与告警管线、TLS 终止、防火墙可达性证明，均交叉引用其他技能。restic、borg、rclone、S3 兼容存储仅为示例而非推荐。RPO/RTO 属业务答案，由所有者提供，审计者只收集不臆造。资料未提供具体版本、收费、平台支持与操作步骤细节。