infrastructure-compliance-auditor

基础设施合规审计员

跨所有合规框架的基础设施安全审计。以确定性、可重复且可生成证据的基础设施审计，取代手动的 Vanta 式检查，涵盖云、DNS、TLS、终端、访问控制、网络、容器、CI/CD、密钥、日志记录和物理安全。将 250+ 项控制措施映射到 10 项标准（SOC 2、ISO 27001、HIPAA、GDPR、PCI-DSS、NIS2、DORA、NIST CSF、FedRAMP、CCPA），并按严重程度加权评分。

核心功能

• 11 个审计领域 — 云（AWS/Azure/GCP）、DNS、TLS/SSL、终端、访问控制、网络、容器/K8s、CI/CD、密钥、日志记录/监控、物理安全
• 250+ 项控制措施 — 每项都有检查 ID、严重程度评级和多框架映射
• 框架映射 — 一次收集证据，映射到多个标准
• 确定性评分 — 按严重程度加权计算各领域和总体评分（0-100），并给出审计就绪度评级
• 证据生成 — 生成适合审计员查看的 JSON 和 Markdown 报告

适用场景

适用于以下需求：“基础设施审计”“云安全审计”“基础设施合规”“DNS 安全审计”“TLS 审计”“终端安全”“访问控制审计”“网络安全评估”“基础设施安全”“云合规”“Vanta 替代方案”“合规自动化”“安全态势评估”“硬件安全密钥”或“YubiKey 合规”。

先行澄清

运行审计前，请先确认以下输入。如果有输入缺失或含糊不清，且会影响结果，请先询问；如果不会影响结果，则使用合理的默认值并说明所用默认值。

• 审计领域： 确定 11 个领域（云、DNS、TLS、终端、访问、网络、容器、CI/CD、密钥、日志记录、物理安全）中哪些在范围内（决定运行哪些检查）。
• 目标框架： 确定要将发现项映射到哪些标准（SOC 2、ISO 27001、HIPAA、PCI-DSS、NIS2……）（影响控制措施映射和报告）。
• 基础设施配置： 描述实际状态的 JSON，包括云服务提供商（AWS/Azure/GCP）（检查项和 CIS 基线取决于此配置）。

只询问对当前请求最重要的两三项输入，而不是列出全部问题。如果用户希望立即获得结果，请直接生成结果，并在开头说明所采用的假设。

快速入门

运行完整基础设施审计

python scripts/infra_audit_runner.py --config infrastructure.json --output audit_report.json

审计某个域名的 DNS 安全

python scripts/dns_security_checker.py --domain example.com --output dns_report.json

审计访问控制

python scripts/access_control_auditor.py --config access_controls.json --output access_report.json

生成合规映射报告

python scripts/infra_audit_runner.py --config infrastructure.json --frameworks soc2,iso27001,hipaa --format markdown --output compliance_report.md

工具

工具	用途	输入
infra_audit_runner.py	跨全部 11 个领域执行完整基础设施审计	描述基础设施的 JSON 配置
dns_security_checker.py	DNS 专项安全审计（SPF、DKIM、DMARC、DNSSEC、CAA、MTA-STS）	域名
access_control_auditor.py	访问控制、MFA、SSO、PAM、RBAC 审计	描述访问控制的 JSON 配置

参考资料

加载与任务匹配的参考资料——保持此文件精简，按需查阅详细信息：

• references/audit-control-catalog.md — 涵盖全部 11 个审计领域的完整控制项目录（250 多项）以及框架覆盖矩阵。需要查询任何领域的确切检查 ID、控制项、严重性和框架映射时阅读。
• references/audit-workflows.md — 审计工作流、审计前后验证清单、按严重性加权的评分方法以及成功标准。规划或执行审计、解读评分时阅读。
• references/tool-reference.md — 三个审计脚本的 CLI 标志参考和故障排除表。运行工具或诊断意外输出时阅读。
• references/cloud-security-baseline.md — AWS / Azure / GCP CIS Benchmark 深度指南。需要目录之外的云服务提供商加固细节时阅读。
• references/access-control-standards.md — MFA、SSO、PAM、零信任和 YubiKey 实施标准。设计身份和访问控制时阅读。
• references/compliance-framework-mapping.md — 控制项到框架的主映射。需要协调多个认证的证据时阅读。

范围与限制

涵盖范围：

• 覆盖 11 个领域的基础设施安全审计：云、DNS、TLS/SSL、终端、访问控制、网络、容器/K8s、CI/CD、机密信息、日志记录/监控、物理安全
• 映射至 10 项合规标准：SOC 2、ISO 27001、HIPAA、GDPR、PCI-DSS、NIS2、DORA、NIST CSF、FedRAMP、CCPA
• 通过按严重性加权的评分，检查 250 多项单独的控制项
• DNS 安全验证，包括 SPF、DKIM、DMARC、DNSSEC、CAA、MTA-STS 和子域接管风险
• 访问控制审计，涵盖 IdP、SSO、MFA、FIDO2/硬件密钥、PAM、RBAC、服务账户、SSH 密钥、API 密钥和零信任
• 生成面向审计员的 JSON 和 Markdown 格式证据报告

不在范围内：

• 实际渗透测试、漏洞扫描或主动利用——此技能执行基于配置的评估，而非主动测试
• 云服务提供商 API 调用或实时基础设施扫描——该工具使用描述基础设施状态的 JSON 配置输入
• 合规认证或鉴证——此技能可识别差距，但不能替代正式的 SOC 2、ISO 27001 或 PCI-DSS 审计
• 超出 CI/CD 流水线配置检查范围的应用程序安全测试（SAST/DAST）
• 合规项目管理、政策编写或治理文档编制

重要说明：

• SOC 2 2026 年最佳实践要求实时监控仪表板在 48 小时内标记控制缺陷；定期抽查已不再足够
• 所有框架对零信任架构的要求日益提高；仅依赖边界的安全措施已无法满足 SOC 2、ISO 27001 和 NIS2 的要求
• 合规自动化平台（Drata、Vanta、Sprinto）可作为补充，但无法取代此工具提供的确定性检查

集成点

技能	集成内容	使用时机
soc2-compliance-expert	将 SOC 2 信任服务准则映射到基础设施控制措施；收集 SOC 2 Type II 证据	基础设施审计用于支持 SOC 2 认证时
information-security-manager-iso27001	通过基础设施检查验证 ISO 27001 附录 A 中的技术控制措施	ISO 27001 认证需要技术控制措施实施证据时
nist-csf-specialist	将 NIST CSF 2.0 的保护和检测功能映射到基础设施领域	构建覆盖 NIST 及其他框架的统一安全态势时
dora-compliance-expert	通过基础设施安全检查验证 DORA 支柱 1 和支柱 3 的控制措施	金融实体需要基础设施证据以满足 DORA 合规要求时
pci-dss-specialist	将 PCI-DSS v4.0 的网络安全、加密和访问控制要求映射到检查项	持卡人数据环境需要基础设施合规验证时
gdpr-dsgvo-expert	提供支持 GDPR 第 32 条的技术隐私控制措施（加密、访问控制、数据遮蔽）	基础设施控制措施用于支持个人数据保护要求时