用途：对一台运行中的 Linux 主机（或其配置即代码）进行操作系统身份与内核基线审计。所有检查均为只读，修改性命令只出现在修复阶段。优先读取生效状态（如 sshd -T、sysctl -n KEY）而非配置文件文本，因为 drop-in 目录会让文件内容产生误导；需要 root 的命令会标注 [ROOT]，无 root 时可审计全局可读状态与配置仓库，并通过 /etc/os-release 先识别发行版以免套用错误默认值。
七个审计域：账户与 sudo（UID-0 重复、空密码、sudo 授权广度、暴力破解节流）；SSH 守护进程（生效配置、认证方式、转发面、密钥卫生）；PAM 与密码策略（锁定、密码质量、过期、哈希）；内核与网络 sysctl（反 MITM、反 DoS、信息泄露与本地提权面）；文件系统与权限（SUID/SGID 清单、全局可写、挂载标志、cron 门控、umask、core dump）；启动与磁盘（引导保护、静态加密、受保护数据挂载）；时间同步（NTP 健康度，是其他证据的取证前提）。防火墙、TLS、SELinux/AppArmor 策略编写、容器运行时、密钥内容、补丁级别、审计规则与日志外发属于范围外，仅作交叉引用。
主要能力：提供可执行的检查命令与判断表，例如用 awk 检查 /etc/passwd 中 UID-0 重复、passwd -S 检查账户锁定、grep 枚举 sudoers 中 NOPASSWD 授权、sshd -T 读取 SSH 生效值、sysctl 读取内核实时值、find 与 getcap 清点 SUID/SGID 与 capabilities。附有风险值与加固建议的对照，并将发现按防御层分类，提示与相邻入口点串联后严重度会上升。
使用方式：在目标主机或配置仓库上按文档命令执行，先检测发行版与有效状态，再依据判断表标记风险；修复须在批准阶段进行。
限制：仅覆盖上述七域；需 root 的检查在无 root 时能力受限；部分控制（如 Alpine BusyBox 未随附 pam_faillock 或 pam_pwquality）只能报告控制缺失而非取值错误。文档未提供授权方式、价格、平台支持范围或具体版本要求。