security-scanning-security-hardening

通过协同的多 Agent 编排，实施全面的安全加固，采用纵深防御策略：

[扩展思考：此工作流在所有应用层实施纵深防御安全策略。它协调专门的安全 Agent 执行全面评估、实施分层安全控制，并建立持续安全监控。该方法遵循现代 DevSecOps 原则，包括安全左移、自动化扫描和合规验证。每个阶段都基于之前的发现，构建能够应对当前漏洞和未来威胁的弹性安全态势。]

何时使用此技能

• 运行协调的安全加固计划
• 在应用、基础设施和 CI/CD 中建立纵深防御控制
• 根据扫描和威胁建模确定修复优先级

何时不要使用此技能

• 你只需要快速扫描，而不需要修复工作
• 你缺乏进行安全测试或变更的授权
• 环境无法承受侵入性安全控制

说明

1. 执行阶段 1 以建立安全基线。
2. 应用阶段 2 对高风险问题进行修复。
3. 实施阶段 3 的控制措施并验证防御。
4. 完成阶段 4 的验证与合规检查。

安全

• 未经批准，避免在生产环境中进行侵入性测试。
• 在加固变更之前，确保存在回滚计划。

阶段 1：全面的安全评估

1. 初始漏洞扫描

• 使用 Task 工具，subagent_type="security-auditor"
• 提示词："对以下内容执行全面的安全评估：$ARGUMENTS。使用 Semgrep/SonarQube 执行 SAST 分析，使用 OWASP ZAP 进行 DAST 扫描，使用 Snyk/Trivy 进行依赖审计，使用 GitLeaks/TruffleHog 进行密钥检测。生成 SBOM 以进行供应链分析。识别 OWASP Top 10 漏洞、CWE 弱点和 CVE 暴露。"
• 输出：包含 CVSS 评分、可利用性分析、攻击面映射、密钥暴露报告、SBOM 清单的详细漏洞报告
• 上下文：所有修复工作的初始基线

2. 威胁建模与风险分析

• 使用 Task 工具，subagent_type="security-auditor"
• 提示词："使用 STRIDE 方法论对以下内容进行威胁建模：$ARGUMENTS。分析攻击向量，创建攻击树，评估已识别漏洞的业务影响。将威胁映射到 MITRE ATT&CK 框架。根据可能性和影响确定风险优先级。"
• 输出：威胁模型图、包含优先级漏洞的风险矩阵、攻击场景文档、业务影响分析
• 上下文：使用漏洞扫描结果来确定威胁优先级

3. 架构安全审查

• 使用 Task 工具，subagent_type="backend-api-security::backend-architect"
• 提示词："审查以下内容的架构安全弱点：$ARGUMENTS。评估服务边界、数据流安全、身份验证/授权架构、加密实现、网络分段。设计零信任架构模式。参考威胁模型和漏洞发现。"
• 输出：安全架构评估、零信任设计建议、服务网格安全要求、数据分类矩阵
• 上下文：纳入威胁模型以解决架构漏洞

阶段 2：漏洞修复

4. 关键漏洞修复

• 使用 Task 工具，subagent_type="security-auditor"
• 提示词："协调对以下内容中关键漏洞（CVSS 7+）的立即修复：$ARGUMENTS。使用参数化查询修复 SQL 注入，使用输出编码修复 XSS，使用安全会话管理修复身份验证绕过，使用输入验证修复不安全的反序列化。为 CVE 应用安全补丁。"
• 输出：带有漏洞修复的已修补代码、安全补丁文档、回归测试要求
• 上下文：处理漏洞评估中的高优先级项目

5. 后端安全加固

• 使用 Task 工具，subagent_type="backend-api-security::backend-security-coder"
• 提示词："为以下内容实施全面的后端安全控制：$ARGUMENTS。使用 OWASP ESAPI 添加输入验证，实施速率限制和 DDoS 防护，通过 OAuth2/JWT 验证保护 API 端点，使用 AES-256/TLS 1.3 为静态/传输中的数据添加加密。实施不会暴露 PII 的安全日志记录。"
• 输出：加固后的 API 端点、验证中间件、加密实现、安全配置模板
• 上下文：在漏洞修复的基础上构建预防性控制

6. 前端安全实现

• 使用 Task 工具，subagent_type="frontend-mobile-security::frontend-security-coder"
• 提示词："为以下内容实施前端安全措施：$ARGUMENTS。配置基于 nonce 策略的 CSP 头，使用 DOMPurify 实现 XSS 防护，通过 PKCE OAuth2 保护身份验证流程，为外部资源添加 SRI，通过 SameSite/HttpOnly/Secure 标志实现安全 Cookie 处理。"
• 输出：安全的前端组件、CSP 策略配置、身份验证流程实现、安全头配置
• 上下文：以客户端保护补充后端安全

7. 移动安全加固

• 使用 Task 工具，subagent_type="frontend-mobile-security::mobile-security-coder"
• 提示词："为以下内容实施移动应用安全：$ARGUMENTS。添加证书固定，实施生物识别身份验证，通过加密保护本地存储，使用 ProGuard/R8 混淆代码，实施防篡改和 root/jailbreak 检测，保护 IPC 通信。"
• 输出：加固后的移动应用、安全配置文件、混淆规则、证书固定实现
• 上下文：如适用，将安全扩展到移动平台

阶段 3：安全控制实现

8. 身份验证与授权增强

• 使用 Task 工具，subagent_type="security-auditor"
• 提示词："为以下内容实施现代身份验证系统：$ARGUMENTS。部署带 PKCE 的 OAuth2/OIDC，实施基于 TOTP/WebAuthn/FIDO2 的 MFA，添加基于风险的身份验证，实施遵循最小权限原则的 RBAC/ABAC，添加带安全令牌轮换的会话管理。"
• 输出：身份验证服务配置、MFA 实现、授权策略、会话管理系统
• 上下文：基于架构审查加强访问控制

9. 基础设施安全控制

• 使用 Task 工具，subagent_type="deployment-strategies::deployment-engineer"
• 提示词："为以下内容部署基础设施安全控制：$ARGUMENTS。配置用于 OWASP 防护的 WAF 规则，实施网络分段与微分段，部署 IDS/IPS 系统，配置云安全组和 NACL，通过速率限制和地理封锁实施 DDoS 防护。"
• 输出：WAF 配置、网络安全策略、IDS/IPS 规则、云安全配置
• 上下文：实施网络层防御

10. 机密管理实现

• 使用 Task 工具，subagent_type="deployment-strategies::deployment-engineer"
• 提示词："为以下内容实施企业级机密管理：$ARGUMENTS。部署 HashiCorp Vault 或 AWS Secrets Manager，实施机密轮换策略，移除硬编码机密，配置最小权限 IAM 角色，实施支持 HSM 的加密密钥管理。"
• 输出：机密管理配置、轮换策略、IAM 角色定义、密钥管理流程
• 上下文：消除机密暴露漏洞

阶段 4：验证与合规

11. 渗透测试与验证

• 使用 Task 工具，设置 subagent_type="security-auditor"
• 提示词："对以下目标执行全面的渗透测试：$ARGUMENTS。执行已认证和未认证测试、API 安全测试、业务逻辑测试及权限提升尝试。使用 Burp Suite、Metasploit 和自定义漏洞利用。验证所有安全控制的有效性。"
• 输出：渗透测试报告、概念验证漏洞利用、修复验证、安全控制有效性指标
• 背景：验证所有已实施的安全措施

12. 合规性与标准验证

• 使用 Task 工具，设置 subagent_type="security-auditor"
• 提示词："验证以下目标是否符合安全框架要求：$ARGUMENTS。对照 OWASP ASVS Level 2、CIS Benchmarks、SOC2 Type II 要求、GDPR/CCPA 隐私控制，以及适用时的 HIPAA/PCI-DSS 进行验证。生成合规性证明报告。"
• 输出：合规性评估报告、差距分析、修复要求、审计证据收集
• 背景：确保符合监管要求和行业标准

13. 安全监控与 SIEM 集成

• 使用 Task 工具，设置 subagent_type="incident-response::devops-troubleshooter"
• 提示词："为以下目标实施安全监控和 SIEM：$ARGUMENTS。部署 Splunk/ELK/Sentinel 集成，配置安全事件关联，实施用于异常检测的行为分析，设置自动化事件响应操作手册，并创建安全仪表板和告警。"
• 输出：SIEM 配置、关联规则、事件响应操作手册、安全仪表板、告警定义
• 背景：建立持续安全监控

配置选项

• scanning_depth: "quick" | "standard" | "comprehensive"（默认：comprehensive）
• compliance_frameworks: ["OWASP", "CIS", "SOC2", "GDPR", "HIPAA", "PCI-DSS"]
• remediation_priority: "cvss_score" | "exploitability" | "business_impact"
• monitoring_integration: "splunk" | "elastic" | "sentinel" | "custom"
• authentication_methods: ["oauth2", "saml", "mfa", "biometric", "passwordless"]

成功标准

• 修复所有严重漏洞（CVSS 7+）
• 解决 OWASP Top 10 漏洞
• 渗透测试中无高风险发现
• 通过合规框架验证
• 安全监控能够检测威胁并发出告警
• 严重告警的事件响应时间 < 15 分钟
• 生成 SBOM 并跟踪漏洞
• 通过安全保管库管理所有密钥
• 身份验证采用 MFA 和安全的会话管理
• 将安全测试集成到 CI/CD 流水线

协调说明

• 每个阶段都会提供详细发现，为后续阶段提供参考
• security-auditor Agent 与特定领域的 Agent 协调修复工作
• 所有代码更改在实施前都须经过安全审查
• 在评估与修复之间建立持续反馈闭环
• 在集中式漏洞管理系统中跟踪安全发现
• 实施后定期安排安全审查

安全加固目标：$ARGUMENTS