mcpField
S
security-bluebook-builder

security-bluebook-builder

github.com/shadowpr0安全845 次安装5 天前更新
代码仓库

关于 security-bluebook-builder

Security Bluebook Builder 帮助团队为敏感应用制定简明且可执行的安全政策。它收集系统背景，并生成包含假设、控制措施和发布门槛的单一 Blue Book 文档。

主要功能

  1. 01最多六个问题收集背景
  2. 02基于模板起草 Blue Book
  3. 03明确列出假设和 TODO
  4. 04威胁模型与数据处理规则
  5. 05认证、令牌、日志和保留政策
  6. 06事件响应与发布检查清单

适用场景

  1. 01为敏感应用起草安全政策
  2. 02将未知事项记录为明确假设
  3. 03定义数据和信任边界的控制措施
  4. 04发布前检查安全准备情况

安装

复制下面的命令，在终端中运行。

$npx skills add https://github.com/shadowpr0/security-bluebook-builder --skill security-bluebook-builder

安装后在 Claude Code 中输入/security-bluebook-builder确认已加载。

附带文件references/bluebook_template.md

详细介绍

安全手册构建器

概述

为敏感应用构建一份精简但切实可行的安全策略。输出是一份连贯的《安全手册》文档，使用 MUST/SHOULD/CAN 语言，并明确说明假设、范围和安全门禁。

工作流

1）收集输入（仅在信息缺失时询问）

只收集足以填写模板的信息。如果用户尚未提供详细信息，请提出最多 6 个简短问题：

  • 处理哪些数据类别（PII、PHI、财务数据、令牌、内容）？
  • 信任边界有哪些（客户端/服务端/第三方）？
  • 用户如何进行身份验证（OAuth、电子邮件/密码、SSO、设备会话）？
  • 使用哪些存储（数据库、对象存储、日志、分析）？
  • 使用哪些连接器或第三方服务？
  • 数据保留和删除方面的预期是什么（默认设置和用户发起的操作）？

如果用户无法回答，请采用安全的默认设置并标记 TODO。

2）起草《安全手册》

加载 references/bluebook_template.md 并根据提供的详细信息填写。内容应简洁、确定且可执行。

3）落实防护措施
  • 不要包含机密、令牌或内部凭据。
  • 如果有未知事项，请写明“TODO”并附上明确的假设。
  • 默认拒绝：如果所需能力不可用，请明确指出。
  • 将范围控制在最小限度；不要添加用户未要求的功能或工具。
4）质量检查

确认《安全手册》包含：

  • 威胁模型（假设 + 范围外事项）
  • 数据分类 + 处理规则
  • 信任边界 + 控制措施
  • 身份验证/会话策略
  • 令牌处理策略
  • 日志/审计策略
  • 数据保留/删除
  • 事件响应简要操作手册
  • 安全门禁 + 是否继续清单

资源

  • references/bluebook_template.md

评论

支持 Markdown