用途：对 Linux 服务器做只读、证据支撑的深度安全审计，适用于 Debian/Ubuntu 与 RHEL 两大发行版家族，覆盖内核、用户与认证、网络暴露、防火墙、Web 服务器、数据库、文件系统、IDS 与监控、备份完整性、软件包共 10 个层面。用于加固前的优先级排查、配置变更后的安全态势复查。若任务需要实际修改系统，应改用 linux-server-hardening；仅做单一狭窄领域检查也不适用。
主要能力与用法：默认只读，仅做文件、服务、包、套接字与日志的检查，不安装、不重载、不改写、不隔离、不加固。按发行版家族替换工具：AppArmor 用 aa-status，SELinux 用 getenforce（须为 Enforcing）和 sestatus；防火墙用 ufw status 或 firewall-cmd --list-all；包与更新用 dpkg -l、apt list --installed/--upgradable、unattended-upgrades，或 rpm -qa、dnf list installed/check-update、dnf-automatic.timer；sudo 组或 wheel 组；审计守护进程 auditd。按 references/audit-layers.md 逐层执行，每个发现按 [SEVERITY] 描述输出，级别为 CRITICAL、HIGH、MEDIUM、LOW、INFO、PASS。完成后输出含主机、系统、日期与各级计数的安全分析报告及评分。可选快速路径：sudo install-skills-bin linux-security-analysis 安装 sk-audit（只读 14 节审计，输出 PASS/WARN/FAIL 与评分）和 sk-apparmor-status；也可先运行 sudo bash ~/.claude/skills/scripts/server-audit.sh。
限制与约束：需明确授权范围与只读访问，权限、日志或工具不足时只完成可观察检查并将未评估项标注为 not assessed，不将不可访问证据计为合规。不得把修复混入审计，须另开独立加固任务。报告须可复现、按时效性与暴露面定级，覆盖全部 10 层；不得输出密钥明文，须做脱敏。资料未提供具体安装命令之外的平台、收费或效果信息。