create-dwy 0.16.1 → 0.17.0

package/templates/ai-tools/skills/unitcircle/uc-deploy-audit/references/checks-network.md

@@ -1,88 +0,0 @@
-# Deploy Audit — 网络与传输安全检查规则
-
-> **何时读这份：** 当 AI 即将运行 4.1 / 4.2 / 4.4 / 4.7 类检查或解读其输出时读取本文件。
-
-本文件聚焦"网络与传输安全"维度的检查规则、严重度判定与输出格式。涵盖 SSH、Nginx、HTTPS 证书、依赖服务连通性。
-
-脚本目录简称 `{scripts}` = `../scripts/`。
-
----
-
-## 4.1 SSH 安全 — `{scripts}/check_ssh.sh`
-
-| 检查项 | 期望值 | 严重级 |
-|--------|--------|--------|
-| `PermitRootLogin` | `no` 或 `prohibit-password` | **critical** |
-| `PasswordAuthentication` | `no` (强制 key) | **high** |
-| `PermitEmptyPasswords` | `no` | **critical** |
-| `Port` | 非默认 22 (建议) | medium |
-| `Protocol` | 只允许 2 | high |
-| `MaxAuthTries` | ≤ 4 | medium |
-| `LoginGraceTime` | ≤ 60s | low |
-| `AllowUsers` / `AllowGroups` | 已配置白名单 | medium |
-| `/var/log/auth.log` 或 `journalctl _COMM=sshd` | 有日志 | high |
-| fail2ban / sshguard | 已安装并运行 | medium |
-
----
-
-## 4.2 Nginx 配置 — `{scripts}/check_nginx.sh`
-
-| 检查项 | 期望值 | 严重级 |
-|--------|--------|--------|
-| HTTP → HTTPS 强制跳转 | 80 端口 return 301 至 https | **critical** |
-| `ssl_protocols` | 仅 `TLSv1.2 TLSv1.3` | high |
-| `ssl_ciphers` | 排除弱加密(RC4/3DES/MD5) | high |
-| `server_tokens` | `off` | medium |
-| `access_log` | 已开启 | **high**(用户特别要求) |
-| `error_log` | 已开启,级别 ≥ warn | high |
-| `client_max_body_size` | 显式配置,业务非上传 ≤ 10m | medium |
-| `limit_req_zone` 已定义 | 至少 1 个 zone（防 CC 攻击 / 暴力请求） | high |
-| `limit_req` 应用到敏感路由 | 登录 / 注册 / 验证码 / 高频 API 必须有 | **critical** |
-| `limit_conn_zone` + `limit_conn` | 限制同 IP 高并发连接 | medium |
-| `limit_req_status` | 建议 `429`（默认 503 易被误判为后端故障） | low |
-| `client_body_timeout` / `client_header_timeout` | ≤ 10s（防 slowloris 慢速攻击） | medium |
-| `add_header Strict-Transport-Security` | `max-age=31536000` | high |
-| `add_header X-Frame-Options` | `DENY` 或 `SAMEORIGIN` | medium |
-| `add_header X-Content-Type-Options` | `nosniff` | medium |
-| `add_header Content-Security-Policy` | 已配置 | low |
-| `autoindex` | `off` | high |
-| 暴露的 location | 排查 `/.git`、`/.env`、`/admin` 是否泄漏 | **critical** |
-| Nginx 版本 | 非已知 CVE 版本 | medium |
-
-**Nginx 版本判定补充：**
-
-- 先查官方配置语义：
-  - headers 模块：`https://nginx.org/en/docs/http/ngx_http_headers_module.html`
-  - SSL 模块：`https://nginx.org/en/docs/http/ngx_http_ssl_module.html`
-- 再查版本安全：
-  - 搜索词：`nginx <version> security advisory`、`nginx <version> CVE`
-  - 优先来源：Nginx 官方公告、NVD、CISA KEV
-- 分级规则：
-  - 命中 **CISA KEV** 或存在明确在野利用记录 → **critical**
-  - 命中高危 CVE（建议按 CVSS ≥ 7.0 参考），但未见在野利用 → high
-  - 未命中高危 CVE，但版本明显老旧且缺少后续安全修复依据 → medium
-- 如果只是配置项（如 `ssl_protocols`、`ssl_stapling`、`add_header ... always`）语义不清，不按“版本风险”报，改为引用官方模块文档解释配置风险。
-
----
-
-## 4.4 HTTPS 证书 — `{scripts}/check_https.sh`
-
-| 检查项 | 期望值 | 严重级 |
-|--------|--------|--------|
-| 证书有效期 | 剩余 > 30 天 | high (< 7 天 critical) |
-| 证书域名匹配 | CN/SAN 包含访问域名 | **critical** |
-| 证书链完整 | 中间证书已配置 | high |
-| 自签证书 | 仅内网允许,公网为 critical | varies |
-| OCSP Stapling | 已启用 | low |
-
----
-
-## 4.7 依赖服务连通性 — `{scripts}/check_services.sh`
-
-| 检查项 | 期望值 | 严重级 |
-|--------|--------|--------|
-| 内部服务端口 | 仅内网/loopback 可达 | high |
-| 健康检查端点 | 返回 200 | medium |
-| 跨服务网络 | 应用 → DB/Redis 连通正常 | info |
-| 防火墙规则 | iptables / ufw / firewalld 已启用 | high |
-| 外部访问入口 | 仅 80/443 + SSH 端口 | high |

package/templates/ai-tools/skills/unitcircle/uc-deploy-audit/references/checks-runtime.md

@@ -1,195 +0,0 @@
-# Deploy Audit — 运行时与韧性检查规则
-
-> **何时读这份：** 当 AI 即将运行 4.6 / 4.8 / 4.9 / 4.10 类检查或解读其输出时读取本文件。
-
-本文件聚焦"运行时与韧性"维度的检查规则、严重度判定与输出格式。涵盖 Docker 安全、自愈与资源耗尽防护、日志大小与防爆、硬件识别与资源推荐。
-
-脚本目录简称 `{scripts}` = `../scripts/`。
-
----
-
-## 4.6 Docker 安全 — `{scripts}/check_docker.sh`
-
-| 检查项 | 期望值 | 严重级 |
-|--------|--------|--------|
-| `/var/run/docker.sock` 挂载到容器 | 仅可信容器 | **critical** |
-| 容器以 root 运行 | 应使用非 root user | high |
-| 端口绑定 | DB/Redis 等内部服务**不应** `0.0.0.0:5432` 暴露 | **critical** |
-| 镜像 tag = `:latest` 或省略 tag | 固定到具体 patch | **critical** |
-| 镜像 tag = 浮动 tag(`:stable` `:mainline` `:alpine` `:bookworm` `:slim` `:edge` `:nightly` 等) | 固定到具体 patch | high |
-| 镜像 tag = 仅 major(`:7` `:16`) | 至少到 minor,推荐到 patch | high |
-| 镜像 tag = `major.minor`(`:7.4`)| 固定到 patch(`:7.4.9`) | medium |
-| 镜像 tag = `@sha256:...` digest | — | OK 加分 |
-| `--privileged` 容器 | 无 | **critical** |
-| Docker 版本 | 非已知 CVE 版本 | medium |
-| Docker daemon 远程 API | 未暴露 2375/2376 公网 | **critical** |
-| 容器 `RestartPolicy` | `always` 或 `unless-stopped`（**服务器重启后自动起来**） | **critical** |
-| 容器 `RestartPolicy=no` 但正在 running | 不允许（重启会丢） | **critical** |
-| 容器 `RestartPolicy=on-failure` | 不推荐（手动 stop / OOM 后不会重启） | high |
-| daemon 日志驱动 `log-opts.max-size` | 已配置（≤ 100m，防容器日志写满磁盘） | high |
-| **daemon `registry-mirrors`** | 已配置至少 1 个 mirror(按服务器所在地区选择) | medium(未配置) / info |
-| **运行容器使用境外 registry**(`gcr.io` `ghcr.io` `k8s.gcr.io` `quay.io` `mcr.microsoft.com` `nvcr.io` `docker.elastic.co`) | `registry-mirrors` 不对它们生效, 拉取加速需自行解决 | info |
-
-**Docker 版本与暴露面判定补充：**
-
-- 官方基础文档：
-  - Engine security：`https://docs.docker.com/engine/security/`
-  - daemon remote access：`https://docs.docker.com/engine/daemon/remote-access/`
-  - logging driver：`https://docs.docker.com/engine/logging/configure/`
-  - OWASP Docker Security Cheat Sheet：`https://cheatsheetseries.owasp.org/cheatsheets/Docker_Security_Cheat_Sheet.html`
-- 版本安全搜索词：
-  - `docker engine <version> CVE`
-  - `docker <version> security advisory`
-- 分级规则：
-  - 命中 **CISA KEV**，或 Docker daemon TCP 端口公网暴露且无充分保护 → **critical**
-  - 命中高危 CVE（建议按 CVSS ≥ 7.0 参考），但当前未见在野利用 → high
-  - 未命中高危 CVE，但版本过旧且缺少持续维护依据 → medium
-- `docker.sock` 挂载、`--privileged`、2375/2376 暴露属于**配置暴露面**，优先按当前表里的配置项分级，不要被“版本没问题”掩盖。
-
----
-
-## 4.8 自愈与资源耗尽防护 — `{scripts}/check_resilience.sh`
-
-服务器意外重启后能否自动恢复，以及在异常负载下能否守住底线。
-
-**B. 系统服务开机自启**（默认清单 + 自动探测）
-
-| 检查项 | 期望值 | 严重级 |
-|--------|--------|--------|
-| `sshd` is-enabled | enabled（不起就再也连不上） | **critical** |
-| `nginx` is-enabled | enabled | **critical** |
-| `docker` is-enabled | enabled（影响所有容器） | **critical** |
-| `postgresql` is-enabled | enabled | **critical** |
-| `redis` / `redis-server` is-enabled | enabled | high |
-| `fail2ban` is-enabled（如安装） | enabled | medium |
-| 应用主进程 systemd unit | enabled | **critical** |
-| running 但 disabled 的服务 | 不应存在（重启即丢失） | high |
-| 自动探测：`systemctl list-unit-files --state=enabled` | 输出供人工核对应用进程是否在内 | info |
-
-**D. 资源耗尽防护**
-
-| 检查项 | 期望值 | 严重级 |
-|--------|--------|--------|
-| `swap` 已配置 | ≥ 1GB（OOM 缓冲） | medium |
-| 根分区使用率 | < 80% | medium（≥ 90% critical） |
-| `/etc/logrotate.conf` 存在 | 是 | high |
-| 关键服务有 `/etc/logrotate.d/<name>` | nginx / postgresql / redis 等都应有 | high |
-| nginx / postgres / redis 进程 `ulimit -n` | ≥ 4096，建议 65535 | medium |
-| `/proc/pressure/memory`（PSI） | 输出供观察当前内存压力 | info |
-| 容器 `HostConfig.Memory` | 关键容器应有内存上限 | medium |
-
----
-
-## 4.9 日志大小与防爆检查 — `{scripts}/check_logs.sh`
-
-防止日志写满磁盘把整机拖垮。check_resilience.sh 的 D 节给的是宏观信号（`/var/log` 总大小、logrotate 是否存在），本节按"日志源"细化到单文件粒度，并基于容器存活时长粗估"撑天数"。
-
-| 检查项 | 期望值 | 严重级 |
-|--------|--------|--------|
-| Docker 单容器 `*-json.log` 大小 | < 500 MB（daemon 配 log-opts max-size 时自动控） | high(>500 MB) / critical(>1 GB 且 daemon 无 log-opts) |
-| 容器自身 `LogConfig.Config` 覆盖 | 至少有 `max-size`，否则继承 daemon | high（容器 + daemon 都没配） |
-| Docker daemon `log-opts.max-size` | 已配置 ≤ 100m | high（同 check_docker.sh，本节关联展开） |
-| Nginx access.log / error.log 单文件 | < 500 MB | high |
-| `/etc/logrotate.d/nginx` | 存在 | high |
-| `journalctl --disk-usage` | < 2 GB | medium / high(≥ 2 GB 且 SystemMaxUse 未配) |
-| `/etc/systemd/journald.conf` `SystemMaxUse` | 已显式配置 | low |
-| 应用日志目录（`/var/log/<svc>` / `/opt/*/logs` / `/home/*/logs` / `/srv/*/logs`） | 列出 Top 10 供人工核对 | info |
-| 日志按当前 docker 容器存活时长粗估的撑天数 | > 90 天 | high(<90) / critical(<30) |
-
-**输出规约：** 脚本会汇总 `Docker json-log + Nginx + journal + 应用日志` 总占用，对照根盘可用空间，给出"按 docker 当前增速预计可撑 N 天"的粗估。粗估只算 docker json-log 增量，不含数据库/应用日志业务增量，因此**结论偏乐观**，作为下限警示使用。
-
----
-
-## 4.10 硬件识别与资源推荐 — `{scripts}/check_capacity.sh`
-
-> 脚本只输出 raw（硬件规格 + 当前容器 mem_limit + Postgres/Redis 启动参数 + compose 资源声明）；主 Claude 用下表生成 "推荐 vs 当前" 对比报告。
-
-**容器资源推荐分级表（按宿主总内存）**
-
-| 宿主总内存 | Backend mem_limit | Postgres mem_limit / shm_size / shared_buffers / effective_cache_size | Redis mem_limit / maxmemory |
-|-----------|-------------------|--------------------------------------------------------------------|----------------------------|
-| 2 GB | 384m | 512m / 128m / 128MB / 384MB | 256m / 180mb |
-| 4 GB | 1g | 1g / 256m / 256MB / 768MB | 384m / 256mb |
-| 8 GB | 2g | 2g / 512m / 512MB / 1536MB | 768m / 512mb |
-| 16 GB | 4g | 4g / 1g / 1GB / 3GB | 1g / 700mb |
-
-**配比原则**
-
-- 容器 `mem_limit` 合计 ≤ 宿主总内存的 **65%**（预留 OS / 全局 nginx / 监控 agent 等）
-- Postgres `shared_buffers` = 容器 `mem_limit` 的 **25%**
-- Postgres `effective_cache_size` = 容器 `mem_limit` 的 **75%**
-- Redis `maxmemory` = 容器 `mem_limit` 的 **70%**（剩 30% 给 RDB/AOF fork 时 COW 留 buffer）
-- Redis `mem_limit` = `maxmemory ÷ 0.7` 向上取整
-
-**对比报告格式（主 Claude 在报告里生成）**
-
-```
-| 服务 | 配置项 | 推荐(基于 X GB 宿主) | 当前 | 状态 |
-|------|--------|--------------------|------|------|
-| backend | mem_limit | 1g | 无 | ❌ 缺失 |
-| db | mem_limit | 1g | 1g | ✅ |
-| db | shared_buffers | 256MB | 128MB(默认) | ⚠️ 偏低 |
-| db | shm_size | 256m | 64m(默认) | ⚠️ 偏低 |
-| redis | maxmemory | 256mb | 256mb | ✅ |
-| redis | mem_limit | 384m | 384m | ✅ |
-| redis | appendonly | yes | no | ⚠️ 重启丢数据 |
-```
-
-**严重等级标记规则**
-
-| 检查项 | 期望值 | 严重级 |
-|--------|--------|--------|
-| 关键服务（redis / postgres / mysql / mongo / clickhouse / elasticsearch）容器无 `mem_limit` | 已设置 | high |
-| Redis `--maxmemory` 未设置或 `0` | 已设置 | **critical** |
-| Postgres `shared_buffers` > 宿主总内存 50% | ≤ 宿主总内存 50% | high |
-| Postgres `shm_size` < 128m | ≥ 256m | medium |
-| Redis 未启用 AOF（`--appendonly yes`） | yes | medium |
-| 容器 `mem_limit` 合计 > 宿主总内存 75% | ≤ 65% | high |
-| `mem_limit` 偏离推荐表 ±50% 以上（主 Claude 判定） | 在分级表区间内 | medium |
-
----
-
-### 日志大小推荐分级表（防容器日志无限增长撑爆磁盘）
-
-依据是 `<根盘容量>` × `<容器规模>`,**单容器最大日志占用 = `max-size` × `max-file`**;所有容器日志合计应 ≤ 根盘可用空间的 **5%**(留磁盘给数据/swap/OS)。
-
-**daemon 兜底配置(`/etc/docker/daemon.json` `log-opts`)**
-
-| 宿主规格 | 根盘 | 容器数(估) | `max-size` | `max-file` | 单容器 quota | 备注 |
-|---------|------|-----------|------------|-----------|-------------|------|
-| 入门 | < 50 GB | 任意 | `10m` | `3` | ~30 MB | 2-4 GB VM 入门款,日志少留磁盘 |
-| 标准 | 50-150 GB | ≤ 5 | `50m` | `5` | ~250 MB | 4-8 GB VM 通用 |
-| 标准 | 50-150 GB | > 5 | `20m` | `5` | ~100 MB | 容器多则降单容器 quota |
-| 大型 | > 150 GB | 任意 | `100m` | `5` | ~500 MB | 16+ GB 服务器,空间充裕 |
-
-**容器级覆盖(compose `logging.options`,优先于 daemon)**
-
-| 容器类型 | `max-size` | `max-file` | 理由 |
-|---------|-----------|-----------|------|
-| 数据库 (postgres / mysql / mongo) | `20m` | `10` | 慢查询日志价值高,保留更多滚动 |
-| Web 反代 (nginx access log 走 stdout) | `50m` | `5` | 写入量大,单文件可放宽 |
-| 应用后端 (FastAPI / Node 等) | `10m` | `5` | 通用 |
-| Redis / 缓存类 | `10m` | `3` | 写入少,保留少 |
-
-**daemon.json 模板**
-
-```json
-{
-  "log-driver": "json-file",
-  "log-opts": {
-    "max-size": "50m",
-    "max-file": "5",
-    "compress": "true"
-  }
-}
-```
-
-**严重等级标记(脚本侧 + 主 Claude 对照表)**
-
-| 判定 | 严重级 |
-|------|--------|
-| daemon 无 `log-opts.max-size` 且容器也无 `LogConfig.Config` | **critical** |
-| daemon `max-size` > 推荐档 50% 以上(如根盘 < 50 GB 用 100m) | high |
-| 容器无 `LogConfig.Config` 但 daemon 有兜底 | OK(走 daemon) |
-| 容器 `LogConfig.Config` 设了但 max-size 偏离推荐档 ±50% | medium |
-| 估算所有容器日志合计 > 根盘可用 5% | high |

package/templates/ai-tools/skills/unitcircle/uc-deploy-audit/references/security-doc-search.md

@@ -1,179 +0,0 @@
-## 权威安全文档检索
-
-当 `references/checks-*.md` 无法覆盖以下场景时，先查权威文档，再下结论：
-
-- 目标版本是否存在已知高危 CVE
-- 某个配置项语义不确定
-- audit 输出与经验规则冲突
-- 用户要求“按官方安全文档”解释
-- 需要把新发现沉淀回本 skill
-
----
-
-## 检索优先级
-
-1. **官方产品文档 / 官方安全页**
-2. **官方维护的版本公告 / 安全公告 / release notes**
-3. **CISA KEV / NVD / CVE 记录**
-4. **OWASP Cheat Sheet**
-
-禁止把论坛、博客、聚合站当一手依据。
-
----
-
-## 固定检索策略
-
-### 1. 先查“配置语义”
-
-按产品名 + 配置项名搜索，优先官方文档：
-
-- `OpenSSH sshd_config PermitRootLogin PasswordAuthentication official`
-- `nginx ssl_protocols ssl_stapling add_header official`
-- `PostgreSQL listen_addresses ssl official`
-- `Redis protected mode bind requirepass official`
-- `Docker daemon remote access docker.sock log-driver official`
-
-目标：确认该配置项的**官方含义、默认值、启用条件、版本约束**。
-
-### 2. 再查“版本安全”
-
-当 audit 输出包含版本号时，按 `产品 + 版本 + CVE` 搜：
-
-- `nginx 1.24.0 CVE`
-- `postgresql 15.6 CVE`
-- `redis 7.2.4 CVE`
-- `docker engine 26.1.4 CVE`
-
-目标：确认是否存在：
-
-- 高危未修复漏洞
-- 该版本已被官方宣布 EOL
-- 配置项依赖的最小版本门槛
-
-### 3. 最后查“硬化基线”
-
-当官方文档只解释语义、不直接给安全基线时，补查：
-
-- `OWASP Docker Security Cheat Sheet`
-- `CISA Known Exploited Vulnerabilities`
-- 产品官方 security / advisories 页面
-
-目标：把“语义”转成“审计期望值”。
-
----
-
-## 推荐来源清单
-
-### SSH / OpenSSH
-
-- OpenSSH `sshd_config` 手册：`https://man.openbsd.org/sshd_config`
-
-重点看：
-
-- `PermitRootLogin`
-- `PasswordAuthentication`
-- `PermitEmptyPasswords`
-- `AllowUsers` / `AllowGroups`
-
-### Nginx / HTTPS
-
-- Nginx headers 模块：`https://nginx.org/en/docs/http/ngx_http_headers_module.html`
-- Nginx SSL 模块：`https://nginx.org/en/docs/http/ngx_http_ssl_module.html`
-
-重点看：
-
-- `add_header ... always`
-- `ssl_protocols`
-- `ssl_stapling`
-- `ssl_stapling_verify`
-
-### PostgreSQL
-
-- 连接与认证：`https://www.postgresql.org/docs/current/runtime-config-connection.html`
-
-重点看：
-
-- `listen_addresses`
-- `port`
-- `ssl`
-
-### Redis
-
-- Redis Security：`https://redis.io/docs/latest/operate/oss_and_stack/management/security/`
-
-重点看：
-
-- `bind`
-- `protected mode`
-- 外网暴露风险
-
-### Docker
-
-- Docker Engine security：`https://docs.docker.com/engine/security/`
-- Docker daemon remote access：`https://docs.docker.com/engine/daemon/remote-access/`
-- Docker logging drivers：`https://docs.docker.com/engine/logging/configure/`
-- OWASP Docker Security Cheat Sheet：`https://cheatsheetseries.owasp.org/cheatsheets/Docker_Security_Cheat_Sheet.html`
-
-重点看：
-
-- daemon attack surface
-- `docker.sock`
-- TCP remote API
-- capabilities / privileged
-- `log-driver`
-
-### CVE / 漏洞情报
-
-- CISA KEV：`https://www.cisa.gov/known-exploited-vulnerabilities-catalog`
-- NVD：`https://nvd.nist.gov/`
-
-用途：
-
-- 判断某版本是否已有**被在野利用**漏洞
-- 给 critical / high 分级补外部依据
-
----
-
-## 审计时何时必须检索
-
-以下情况不得只靠本地规则：
-
-1. `references/checks-*.md` 写着“非已知 CVE 版本”，但当前没附具体依据
-2. audit 输出出现明确版本号，且版本看起来偏旧
-3. 某项默认值与当前发行版可能有漂移
-4. 需要判断某项该算 `critical` 还是 `high`
-5. 用户要求“给官方文档链接”
-
----
-
-## 沉淀规则
-
-如果检索得到**稳定、可复用、非一次性**的信息，必须回写：
-
-- 配置语义类 → 更新对应 `references/checks-network.md` / `references/checks-data.md` / `references/checks-runtime.md`
-- 检索方法类 → 更新本文件
-- 仅某产品某版本临时漏洞 → 不写入长期规则，只在本次报告引用
-
-判断“适合沉淀”的标准：
-
-- 下次审计大概率还会遇到
-- 不是某个用户私有环境特例
-- 可以转化为明确检查项、期望值或检索模板
-
----
-
-## 输出要求
-
-当使用了外部文档，报告里的失败项详情至少补 1 个权威链接：
-
-- 官方文档优先
-- 漏洞项可追加 CISA KEV 或 NVD
-- 不引用二手博客作唯一依据
-
-格式建议：
-
-```markdown
-- 参考:
-  - https://www.postgresql.org/docs/current/runtime-config-connection.html
-  - https://nvd.nist.gov/
-```

package/templates/ai-tools/skills/unitcircle/uc-deploy-audit/scripts/check_base.sh

@@ -1,39 +0,0 @@
-#!/usr/bin/env bash
-# 基础环境识别: OS / 监听端口 / 运行服务 / Docker
-TARGET="$1"; shift
-SSH_OPTS=("$@")
-
-ssh "${SSH_OPTS[@]}" "${TARGET}" bash -s <<'REMOTE'
-echo "--- OS ---"
-cat /etc/os-release 2>/dev/null | grep -E "^(NAME|VERSION|ID)=" || echo "unknown"
-uname -a
-
-echo "--- KERNEL ---"
-uname -r
-
-echo "--- LISTENING PORTS (TCP) ---"
-(ss -tlnp 2>/dev/null || netstat -tlnp 2>/dev/null) | head -50
-
-echo "--- LISTENING PORTS (UDP) ---"
-(ss -ulnp 2>/dev/null || netstat -ulnp 2>/dev/null) | head -30
-
-echo "--- ESTABLISHED CONNECTIONS (sample) ---"
-(ss -tn state established 2>/dev/null || netstat -tn 2>/dev/null) | head -20
-
-echo "--- RUNNING SERVICES ---"
-systemctl list-units --type=service --state=running --no-pager 2>/dev/null | head -40
-
-echo "--- INSTALLED RELEVANT BINARIES ---"
-for cmd in nginx postgres psql redis-cli docker openssl ufw firewall-cmd iptables fail2ban-client; do
-  path=$(command -v "$cmd" 2>/dev/null || true)
-  printf "  %-20s %s\n" "$cmd" "${path:-<not installed>}"
-done
-
-echo "--- PUBLIC IP (best effort) ---"
-curl -fsS --max-time 5 https://api.ipify.org 2>/dev/null || hostname -I | awk '{print $1}'
-echo
-
-echo "--- USER & SUDO ---"
-id
-sudo -n -l 2>/dev/null | head -5 || echo "no passwordless sudo"
-REMOTE