docs: 記錄 Xensor EDR 部署至 106.105.181.70（hospital_web）

- 新增已部署主機對照表（.40 + .70），含 Endpoint ID / OS / 安裝日期
- 補充安裝實務踩坑：macOS 中文檔名 unzip 失敗改用 unzip -p、
  遠端無 unzip、安裝後 systemd/config 初始化競態
- .gitignore 排除 Xensor 安裝包（含 APIKey/院名，敏感）

Co-Authored-By: Claude Opus 4.8 (1M context) <noreply@anthropic.com>

.gitignore

@@ -1,5 +1,9 @@
 # SSL 暫存工作區：含私鑰、原始憑證 zip，絕對不可進 git
 ssl-staging/
 
+# Xensor EDR 安裝包：含 APIKey、RSA 公鑰、院內群組名，絕對不可進 git
+XENSOR_*.zip
+*_Linux-*.sh
+
 # macOS
 .DS_Store

xensor_cydroned_edr.md

@@ -2,14 +2,22 @@
 
 ## 概述
 
-`106.105.181.40` 上部署了 **CyCraft（奧義智慧）Xensor** 端點偵測與回應（EDR）代理程式，
+`106.105.181.40`（`hospital_media`）與 `106.105.181.70`（`hospital_web`）上皆部署了
-agent 名稱為 `cydroned`，由資安團隊提供的安裝腳本部署。
+**CyCraft（奧義智慧）Xensor** 端點偵測與回應（EDR）代理程式，agent 名稱為 `cydroned`，
+由資安團隊提供的安裝腳本部署（同一套安裝包、同一 APIKey/群組）。
 
 - 安裝包：`XENSOR_Linux-臺北市立聯合醫院.zip`，解開後為單一 shell script
   （檔名 = `<APIKey>_Linux-臺北市立聯合醫院.sh`）
 - 部署群組：`Linux-臺北市立聯合醫院`（appid `A00003`）
 - 回報伺服器：`https://node7.xensor.ai:443`
 
+### 已部署主機
+
+| 主機 | SSH 別名 | OS | Endpoint ID | 安裝日期 |
+|------|---------|-----|-------------|----------|
+| `106.105.181.40` | `hospital_media` | Ubuntu 22.04 (py 3.10.12) | `25F3B0AFCA173F2417950B2FD28CFA66` | 2026-04-14 |
+| `106.105.181.70` | `hospital_web` | Ubuntu 24.04.4 (py 3.12.3) | `2BAF82335C17FCE1541D2210DB083EC6` | 2026-06-08 |
+
 ## 安裝包資訊
 
 | 項目 | 值 |
@@ -68,7 +76,7 @@ ssh hospital_media    # 第一跳 timmy_home_server 會提示密碼，互動輸
 ### 執行安裝
 
 ```bash
-# 1. 把安裝包上傳到主機
+# 1. 把安裝包上傳到主機（hospital_media=.40 或 hospital_web=.70）
 scp XENSOR_Linux-臺北市立聯合醫院.zip hospital_media:~/
 
 # 2. 在主機上解壓、賦予執行權限、以 root 執行
@@ -78,6 +86,15 @@ chmod +x *_Linux-臺北市立聯合醫院.sh
 sudo ./*_Linux-臺北市立聯合醫院.sh
 ```
 
+> **實務踩坑（2026-06-08 裝 `.70` 時）**：
+> - zip 內的 `.sh` 檔名含中文，**macOS 直接 `unzip` 會 `Illegal byte sequence` 解不開**。
+>   改用 stdout 導出乾淨檔名再上傳：
+>   `unzip -p XENSOR_*.zip > cydroned_install.sh && scp cydroned_install.sh hospital_web:~/`
+> - `hospital_web`（Ubuntu 24.04）**沒裝 `unzip`**，所以才在本機解壓後傳 `.sh`。
+> - 用 `sudo sh cydroned_install.sh` 執行即可（sudo 為 NOPASSWD）。
+> - 安裝**剛完成的數秒內**，`systemctl status` 可能報 unit not found、`/etc/cydroned/config`
+>   也還沒寫完——這是 daemon-reload 與初始化的競態，稍等再查即正常（service enabled + running）。
+
 腳本選項：
 
 | 選項 | 用途 |