OpenClaw Security Monitor

## Visão Geral

OpenClaw Security Monitor fornece varredura de segurança automatizada, análise de vulnerabilidades e revisão de segurança de código apenas para **ativos autorizados**. Ele combina ferramentas de varredura em nível de rede, análise de vulnerabilidades baseada em CVE e detecção de segurança de código-fonte em um fluxo de trabalho de segurança defensiva unificado.

> **Autorização Necessária**: Este plugin foi projetado exclusivamente para varrer ativos que você possui ou tem autorização explícita por escrito para testar. Varredura não autorizada de sistemas de terceiros é proibida e pode violar leis aplicáveis.

## Início Rápido

1. **Instale o plugin** no seu workspace do OpenClaw
2. **Faça a varredura da sua infraestrutura** — use `Security Scanning Tools` para descobrir portas abertas e serviços em seus hosts autorizados
3. **Analise vulnerabilidades** — use `security-analyzer` para varrer dependências em busca de CVEs conhecidas e gerar planos de correção com pontuação de risco

## Comandos Principais

| Comando | Skill | O que faz |
|---------|-------|------------|
| "Varra meu servidor em busca de portas abertas" | `Security Scanning Tools` | Descoberta de rede e enumeração de serviços em hosts autorizados |
| "Verifique meu projeto em busca de vulnerabilidades" | `security-analyzer` | Varredura de dependências (npm/pip/go/cargo), consulta de CVE via OSV.dev, pontuação de risco |
| "Revise este código em busca de problemas de segurança" | `vibe-security` | Detecta injeção de SQL, XSS, CSRF, bypass de autenticação, injeção de comandos, traversão de caminho |
| "Gere um relatório de segurança" | `security-analyzer` | Plano de correção em fases com testes de validação TDD |
| "Audite meus containers Docker" | `security-analyzer` | Avaliação de segurança de containers e Kubernetes |

## Exemplo de Fluxo de Trabalho

1. Use **Security Scanning Tools** para enumerar serviços e portas abertas na sua infraestrutura autorizada
2. Use **security-analyzer** para varrer dependências do projeto em busca de CVEs conhecidas e gerar pontuações de risco
3. Use **vibe-security** para revisar código de aplicação em busca de vulnerabilidades OWASP Top 10
4. Revise o plano de correção gerado e aplique correções em ordem de prioridade

## Importante: Escopo & Limitações

- **Apenas uso autorizado**: Varra apenas sistemas que você possui ou tem permissão explícita para testar
- **Saída é consultiva**: Todas as descobertas são relatórios e recomendações — o plugin não modifica ou corrige automaticamente seus sistemas
- **Falsos positivos possíveis**: Sempre verifique as descobertas manualmente antes de tomar ações
- **Não substitui pentesting profissional**: Use para verificações de rotina; contrate profissionais para auditorias de conformidade

## Recuperação de Falhas

- Se uma varredura atingir o tempo limite, reduza o escopo (menos portas/hosts) e tente novamente
- Se dados de CVE estiverem indisponíveis, o analisador usa bancos de dados de vulnerabilidade locais como fallback
- Se a análise de código produzir muitos resultados, foque primeiro nas descobertas de severidade crítica/alta

## Dicas

- Execute `security-analyzer` após cada atualização de dependência para capturar CVEs recém-divulgadas
- Use `vibe-security` como verificação pré-commit para capturar problemas de segurança antes de chegar à produção
- Combine com pipelines de CI/CD para gates de segurança automatizados em pull requests