CustomOS3.1 OBSIDIAN
系统态势
默认安装的示例值。在 CustomOS 上，此面板读取运行中的系统。
防火墙
nftables 已启用
入站默认拒绝 · 始终开启
Kill switch
未生效
当 wg*/tun* 隧道启动时生效
IDS
Suricata · IDS
默认安装 · 检测，而非阻断
Live 介质
dm-verity
启动时验证 squashfs · 失败即关闭
磁盘
LUKS2 已解锁
argon2id · TPM2 封装可选启用
启动链
Secure Boot
shim → GRUB → 内核（已安装，amd64）
| 控制 | 默认安装 | 参考 |
|---|---|---|
| 全盘加密（LUKS2、argon2id） | 开 | §2.1 |
| LUKS 密钥已封装到 TPM2 | 可选启用，安装后 | §2.1bis |
| 已安装系统的 Secure Boot | 开（amd64） | §2.1ter |
| 已签名 UKI（内核 + initrd + cmdline） | 可选启用（amd64 + UEFI） | §2.19 |
| nftables 入站默认拒绝 | 开 | §2.2 |
| 仅隧道 kill switch | 可选启用的配置 | §2.2 |
| AppArmor 强制模式 · auditd · sysctl 加固 | 开 | §2.3–2.5 |
| 已签名更新器（TUF、Ed25519）+ TPM 防回滚 | 开 | §2.6 |
| Live 介质的 dm-verity | 开 | §2.9 |
| /usr（已安装）的块级 dm-verity | 可选启用 | §2.17 |
| AIDE 文件完整性 + Suricata IDS | 开（检测，而非阻断） | §2.13 · §2.16 |
| 流量中的后量子加密 | 仅 SSH 密钥交换，SSH 可选启用 | §3.4 |
| VPN 隧道 / Tor | 镜像中含客户端，未配置任何内容 | §3.5 |
权威来源：仓库中的 docs/THREAT_MODEL.md — 而非本演示。
$ harden-audit --live
点击“运行”查看（演示）输出
安装程序最低要求：12 个以上字符且 3 种以上字符类别。作为纯函数检查；不存储任何内容。