system-security-audit

name	system-security-audit
description	Linux-Sicherheitsaudit: offene Ports, Dienste, Berechtigungen, Firewall, Benutzer, Updates, schnelle Fixes. Mit Dokumentation.
version	1.0.0
author	Yuno
license	MIT

System Security Audit

Führe diesen Audit durch, wenn der Benutzer nach Sicherheit, Absicherung, offenen Ports, oder "was kann man schnell lösen" fragt.

Ablauf

1. Netzwerk & offene Ports

# Firewall-Status
sudo ufw status

# Offene Ports (lauschende Dienste)
ss -tlnp

# Dienste die auf 0.0.0.0 lauschen (von außen erreichbar!)
ss -tlnp | grep -E "0.0.0.0:|:::|:\*"

# SSH-Server prüfen
systemctl is-active sshd

Für jeden Dienst auf 0.0.0.0: prüfen: Braucht der wirklich Netzwerkzugriff? Sonst auf localhost beschränken per UFW oder Config.

2. Berechtigungen

# Sensitive Configs
ls -la ~/.gmail-organizer.json  # sollte 600 sein
ls -la ~/.hermes/config.yaml     # sollte 600 sein
ls -la ~/.ssh/                   # sollte 700 sein, keine fremden Keys

# HERMES-SPEZIFISCH: Session-DB, Logs, Snapshots
# state.db enthält den kompletten Sitzungsverlauf (~90MB+)
ls -la ~/.hermes/state.db ~/.hermes/kanban.db
# → sollten 600 sein (waren 644 = world-readable!)

# Logs können API-Keys und Tokens enthalten
ls -la ~/.hermes/logs/
# → agent.log, errors.log sollten 600 sein

# Snapshots = Session-Backups (ebenfalls sensitiv!)
ls -lad ~/.hermes/state-snapshots/
ls -la ~/.hermes/state-snapshots/ 2>/dev/null | head -5
# → Verzeichnis sollte 700 sein, dateien 600

# Config-Backups (enthalten oft API-Keys)
ls -la ~/.hermes/config.yaml.bak.* 2>/dev/null
# → sollten 600 sein

# Sicherheitslücken-Ranking: state.db > logs > snapshots > config-backups

# Weltlesbare Dateien in $HOME (außer .py, .md, .txt, Bilder)
find ~ -maxdepth 2 -type f -perm -o+r ! -name "*.py" ! -name "*.md" ! -name "*.txt" 2>/dev/null | head -20

3. Dienste & Autostart

# Alle laufenden Dienste
systemctl list-units --type=service --state=running | head -30

# Kritische Dienste checken:
for svc in nvidia-powerd gamemoded ollama rygel sshd; do
    systemctl is-active "$svc" 2>/dev/null
done

Bei jedem Dienst: Wird er gebraucht? Wenn nein, stop + disable.

4. Benutzer & Zugänge

# Benutzer mit Shell
sudo cat /etc/passwd | grep -E "/home|/bin/bash" | cut -d: -f1,3,7

# Leere Passwörter
awk -F: '($2==""){print}' /etc/shadow 2>/dev/null

# NOPASSWD in sudoers
sudo cat /etc/sudoers 2>/dev/null | grep -i NOPASSWD
sudo cat /etc/sudoers.d/* 2>/dev/null | grep -i NOPASSWD

# Passwort-Hashing (sollte yescrypt oder sha512 sein)
cat /etc/pam.d/common-password | grep pam_unix

5. Updates

apt list --upgradable 2>/dev/null | grep -c "/"
flatpak update 2>/dev/null | grep -c "Updating\|Installing"

6. Bewertung & Doku

Jeden Fund kategorisieren:

Farbe	Bedeutung
🟢 ✅	Sicher / korrekt
🟡 ⚠️	Auffällig — Verbesserung möglich
🔴 ❌	Kritisch — sofort fixen

Für jeden 🔴/🟡-Fund notieren:

• Was genau ist das Problem
• Welches Risiko besteht
• Wie es zu beheben ist (genauer Befehl)
• Ob der User zustimmen muss

Quick-Fix Cheatsheet

# Dienst deaktivieren
sudo systemctl stop <dienst>
sudo systemctl disable <dienst>

# Dienst auf localhost beschränken (UFW deny+allow pattern)
# Blockiert ALLE externen Zugriffe, erlaubt nur localhost
sudo ufw deny <port>/tcp
sudo ufw allow from 127.0.0.1 to any port <port> proto tcp
# Vorteil: Dienst bleibt aktiv und nutzbar, aber nicht von extern erreichbar

# SSH deaktivieren (wenn nicht gebraucht)
sudo apt purge openssh-server

# Config-Berechtigungen korrigieren
chmod 600 ~/.gmail-organizer.json ~/.hermes/config.yaml
chmod 700 ~/.ssh/

# HERMES-SPEZIFISCH: Session-DB + Logs härten
chmod 600 ~/.hermes/state.db ~/.hermes/kanban.db ~/.hermes/.hermes_history
chmod 600 ~/.hermes/state.db-wal ~/.hermes/state.db-shm
chmod 600 ~/.hermes/logs/agent.log ~/.hermes/logs/errors.log
chmod 700 ~/.hermes/state-snapshots/
find ~/.hermes/state-snapshots/ -type f -exec chmod 600 {} \;
chmod 600 ~/.hermes/config.yaml.bak.* 2>/dev/null

# Request-Dumps löschen (alte API-Debug-Files, potentiell sensitiv)
find ~/.hermes/ -name 'request_dump_*.json' -delete

# Fail-Close aktivieren (Tool-Ausfall = Ablehnung, nicht Open-Bar)
hermes config set tirith_fail_open false

# DM-Policy schließen (nur bekannte User)
hermes config set telegram.dm_policy closed

# Nach Config-Änderungen: Gateway neustarten
systemctl --user restart hermes-gateway.service

# Config .env Backup vor Edits (Niemals sed -i auf .env!)
cp ~/.hermes/.env ~/.hermes/.env.pre-$(date +%s)

# Config .env aus Pre-Update-Snapshot wiederherstellen (bei Korruption)
# ls ~/.hermes/state-snapshots/ | sort | tail -1 → snapshot-dir
# cp ~/.hermes/state-snapshots/<latest>/.env ~/.hermes/.env

# Ollama Crash-Loop beenden (Port-Konflikt zwischen Snap und systemd)
# 1. Finde was auf Port 11434 läuft
ss -tlnp | grep 11434
# 2. Snap-Version läuft bereits → systemd-Version deaktivieren
sudo systemctl stop ollama && sudo systemctl disable ollama
# ODER: Snap entfernen + systemd-Version nutzen
sudo snap remove ollama

Dokumentation

Nach dem Audit eine Datei ~/docs/system/security.md schreiben mit:

• Übersicht offene Ports (nach Interface getrennt)
• Berechtigungs-Status
• Dienst-Status-Tabelle
• Quick-Wins (was wurde/wird gefixt)
• Datum

Format siehe ~/docs/system/security.md (Beispiel vom 03.06.2026).

Referenzen

• references/audit-example.md — Reales Audit-Beispiel mit Befunden und Quick-Fixes von Basti's Zorin OS