Flowtriq Monitor 技能

该技能允许你直接通过 OpenClaw 智能体监控受 Flowtriq 保护的基础设施。你可以使用自然语言提问，智能体将自动调用 Flowtriq API 并为你解析返回结果。

基础 URL： https://flowtriq.com
所有智能体端点均需携带以下认证请求头：

Authorization: Bearer $FLOWTRIQ_API_KEY
X-Node-UUID: $FLOWTRIQ_NODE_UUID

你可以提出的问题

• “我当前是否有节点正在遭受攻击？”
• “我的服务器当前流量是多少？”
• “显示我最近发生的事件”
• “上一次攻击中的峰值 PPS 是多少？”
• “我的智能体是否在线？”
• “拉取我的节点配置与阈值设置”
• “近期是否有 IOC 匹配？”

API 调用参考

检查智能体健康状态 / 节点状态

GET https://flowtriq.com/api/health

无需身份验证。返回 { "status": "ok" }。建议首先调用此接口确认 Flowtriq 平台可达，再发起需认证的请求。

获取节点配置及当前阈值

GET https://flowtriq.com/api/v1/agent/config
请求头：Authorization + X-Node-UUID

返回节点当前的 PPS 触发阈值、基线统计（p99、均值）、已加载的 IOC 模式，以及任何已排队待执行的智能体命令。

需向用户明确展示的关键字段：

• pps_threshold —— 触发事件的 PPS 阈值
• baseline.p99_pps —— 节点正常 p99 流量水平
• baseline.mean_pps —— 基线平均流量
• ioc_patterns —— 已加载 IOC 模式的数量
• pending_commands —— 若存在待处理命令，应提示用户审查

获取最新指标（当前流量）

POST https://flowtriq.com/api/v1/agent/metrics
请求头：Authorization + X-Node-UUID

智能体每秒向该端点提交一次指标数据。如需读取当前流量状态，请使用仪表盘（dashboard）API。由于仪表盘端点需基于会话的身份验证，建议引导用户访问 https://flowtriq.com/dashboard 查看实时视图；或从配置端点获取基线背景信息。

提交 / 查询事件（Incident）

POST https://flowtriq.com/api/v1/agent/incident
请求头：Authorization + X-Node-UUID

智能体通过该端点创建和更新事件。在解析返回的事件数据或用户确认的事件时，需提取并解释以下字段：

攻击类型对应通俗名称映射表：

• udp_flood = UDP Flood
• syn_flood = SYN Flood
• http_flood = HTTP Flood
• icmp_flood = ICMP/Ping Flood
• dns_flood = DNS 放大攻击
• multi_vector = 多向量攻击（多种攻击类型组合）
• unknown = 未分类

严重等级说明：

• low = 低于基线 2 倍，仅作信息提示
• medium = 基线的 2–5 倍，建议密切监控
• high = 基线的 5–20 倍，缓解措施很可能已激活
• critical = 基线的 20 倍及以上，系统处于全面响应模式

注册新节点（当用户主动提出时）

POST https://flowtriq.com/api/deploy
请求头：Authorization: Bearer YOUR_DEPLOY_TOKEN
请求体：{ "name": "node-name", "ip": "x.x.x.x" }

注意：此处使用的是 部署令牌（deploy token），而非节点 API 密钥。用户需单独提供其部署令牌。成功后将返回新注册节点的 node_uuid 和 api_key。

面向用户的响应解读规范

始终将原始 API 数据转化为符合 NOC（网络运营中心）风格的简洁口语化摘要。示例模板如下：

一切正常：

“你的节点在线。基线 p99 流量为 12,000 PPS，触发阈值设为 50,000 PPS。当前无活跃事件。已加载 8 个 IOC 模式。”

存在活跃攻击：

“[节点名] 上发生活跃事件：SYN Flood，严重等级为‘严重’。峰值达 47,821 PPS（1.7 Gbps），共涉及 3,241 个源 IP，检测到 IP 欺骗行为。IOC 匹配结果：mirai-variant（置信度 94%）。缓解措施应已启用，请前往仪表盘查看 FlowSpec 规则状态。”

服务降级 / 智能体离线：

“Flowtriq 平台可达，但你的节点近期未发送心跳信号。你的智能体可能已停止运行。请在服务器上执行 sudo systemctl status ftagent 进行检查。”

错误处理

配置提醒（当用户尚未设置环境变量时）

若检测到 FLOWTRIQ_API_KEY 或 FLOWTRIQ_NODE_UUID 缺失，请告知用户：

“要使用本技能，你需要在 OpenClaw 中设置以下两个环境变量：

• FLOWTRIQ_API_KEY —— 可在 Flowtriq 仪表盘的 Settings > API Keys 页面中找到
• FLOWTRIQ_NODE_UUID —— 可在节点设置页面中查看

请将它们添加至 OpenClaw 的环境变量配置中，并重新加载智能体。”

参考文档

• references/attack-types.md —— 全面介绍全部 8 类攻击家族，涵盖成因分析与推荐响应措施
• references/api-endpoints.md —— 完整 API 端点参考手册，含全部参数说明，适用于复杂任务时快速查阅