用途：在单台 Linux 主机或其配置即代码仓库上审计服务与进程的隔离（containment）。目标是查明哪些服务以 root 或共享、可登录身份运行，systemd 单元是否启用零成本沙箱指令（CWE-250），SELinux 或 AppArmor 是否存在及其模式，容器配置是否赋予等同于宿主机的权限，以及 root 所属 cron/timer 脚本能否被非特权主体修改。
主要能力：按身份（User=/Group=/DynamicUser=）、权限（NoNewPrivileges、CapabilityBoundingSet）、文件系统（ProtectSystem、ProtectHome、PrivateTmp）、内核接口（SystemCallFilter）、网络（IPAddressAllow/Deny）与策略（SELinux/AppArmor）分层检查；用 systemd-analyze security 对每个单元评分并定位 EXPOSED 项；识别 docker.sock 挂载、--privileged、--network host、--pid host、--cap-add 等宿主等价权限。
用法：仅执行非变更命令，如 systemctl list-unit-files、systemctl show、systemctl cat、ps、getenforce、sestatus、aa-status、docker inspect 等；修复阶段在 /etc/systemd/system/<unit>.service.d/ 写 override.conf，用 systemd-analyze verify 校验并 daemon-reload，重启须经编排器批准。
限制：本模块只审计隔离的存在、模式与配置，不做 SELinux/AppArmor 策略编写与 k8s pod 安全深度审查；不得编辑单元文件、重启服务或进入容器；资料未提供收费、价格与平台信息。