mcpField
S
security-engineering

security-engineering

github.com/89jobrien安全451 次安装9 周前更新
代码仓库

关于 security-engineering

为安全工程工作提供应用与基础设施安全、合规和事件响应参考，适用于架构设计、开发和安全运营场景。内容涵盖身份验证、授权、安全测试及常见合规框架。

主要功能

  1. 01涵盖纵深防御与零信任架构
  2. 02介绍身份验证和访问控制模式
  3. 03列出安全开发与测试实践
  4. 04总结合规控制与框架
  5. 05说明事件响应阶段

适用场景

  1. 01设计应用或基础设施安全架构
  2. 02实施身份验证与授权策略
  3. 03规划安全测试和合规控制
  4. 04制定安全事件响应流程

安装

复制下面的命令，在终端中运行。

$npx skills add https://github.com/89jobrien/steve --skill security-engineering

安装后在 Claude Code 中输入/security-engineering确认已加载。

详细介绍

安全工程

涵盖应用安全、基础设施安全、合规性和事件响应的全面安全工程技能。

何时使用此技能

  • 设计安全架构
  • 实施身份验证和授权
  • 进行威胁建模
  • 安全代码审查
  • 实施合规控制（SOC2、HIPAA、PCI-DSS）
  • 制定事件响应计划
  • 安全监控和告警

安全架构

纵深防御

在多个层面部署安全控制：

层级控制措施
边界防火墙、WAF、DDoS 防护
网络分段、IDS/IPS、VPN
主机加固、EDR、补丁管理
应用输入验证、安全编码、SAST/DAST
数据加密、访问控制、DLP
身份MFA、SSO、特权访问管理
零信任架构

核心原则：

  1. 永不信任，始终验证
  2. 假定已遭入侵
  3. 最小权限访问
  4. 微分段
  5. 持续验证

实施：

  • 基于身份的访问（而非基于网络）
  • 设备健康状况验证
  • 持续身份验证
  • 全面加密通信
  • 详细的日志记录和监控

身份验证模式

OAuth 2.0 / OIDC

授权类型：

授权类型使用场景
Authorization Code + PKCEWeb/移动应用
Client Credentials服务到服务
Device CodeCLI 工具、IoT

令牌最佳实践：

  • 使用短时访问令牌（15 分钟 - 1 小时）
  • 安全存储刷新令牌
  • 使用时轮换令牌
  • 支持撤销令牌
会话管理
  • 使用安全、HttpOnly、SameSite Cookie
  • 设置会话超时（空闲和绝对超时）
  • 登出时使会话失效
  • 限制并发会话数
  • 将会话绑定到设备/IP
多因素身份验证
  • TOTP（身份验证器应用）
  • WebAuthn/FIDO2（硬件密钥）
  • 推送通知
  • SMS（最后手段，容易受到 SIM 卡交换攻击）

授权模式

RBAC（基于角色的访问控制）
Users → Roles → Permissions

适用于：组织层级明确定义的场景

ABAC（基于属性的访问控制）
If user.department == "engineering" AND
   resource.classification == "internal" AND
   time.hour BETWEEN 9 AND 17
THEN allow

适用于：复杂、动态的访问需求

策略即代码

使用 OPA/Rego 或 Cedar 外置策略：

  • 对策略进行版本控制
  • 访问规则可测试
  • 审计跟踪
  • 职责分离

安全开发

OWASP Top 10 缓解措施
风险缓解措施
注入参数化查询、输入验证
身份验证失效强密码策略、MFA、速率限制
敏感数据加密、尽量减少数据收集
XXE禁用外部实体
访问控制失效授权检查、默认拒绝
配置错误安全默认设置、加固指南
XSS输出编码、CSP
反序列化完整性检查、避免使用不可信数据
组件依赖项扫描、更新
日志记录集中式日志记录、告警
安全测试

SAST（静态分析）：

  • 每次提交时运行
  • 阻止高严重性问题
  • 工具：Semgrep、CodeQL、SonarQube

DAST（动态分析）：

  • 针对预发布/开发环境运行
  • 工具：OWASP ZAP、Burp Suite

依赖项扫描：

  • 检查已知漏洞
  • 工具：Snyk、Dependabot、npm audit
密钥管理

切勿：

  • 将密钥提交到 git
  • 记录密钥
  • 在 URL 中传递密钥
  • 将密钥硬编码

应当：

  • 使用密钥管理器（Vault、AWS Secrets Manager）
  • 定期轮换密钥
  • 审计密钥访问
  • 使用短期凭证

合规框架

常见要求
框架重点领域
SOC 2信任服务（安全性、可用性等）
HIPAA医疗保健数据保护
PCI-DSS支付卡数据
GDPR欧盟个人数据保护
ISO 27001信息安全管理
关键控制措施
  • 访问控制和身份验证
  • 加密（静态和传输中）
  • 日志记录和监控
  • 事件响应流程
  • 业务连续性规划
  • 供应商管理
  • 员工安全培训

事件响应

响应阶段
  1. 准备：操作手册、工具、培训
  2. 检测：监控、告警、分诊
  3. 遏制：隔离、保全证据
  4. 根除：移除威胁、修补漏洞
  5. 恢复：恢复服务、验证环境干净
  6. 经验总结：事后复盘、改进
严重程度级别
级别描述响应时间
P1正在发生的入侵、数据外泄立即
P2漏洞正在遭到利用< 4 小时
P3发现高风险漏洞< 24 小时
P4需要进行安全改进下一个迭代

参考文件

  • references/threat_modeling.md - STRIDE 方法和示例
  • references/compliance_controls.md - 特定框架的控制措施映射

与其他技能集成

  • cloud-infrastructure - 用于云安全
  • debugging - 用于调查安全事件
  • testing - 用于安全测试模式

评论

支持 Markdown