security-scanning-security-hardening

通过协同多 Agent 编排，采用纵深防御策略，全面强化安全：

[Extended thinking: 此工作流在所有应用层实施纵深防御策略。它协调专业安全 Agent，开展全面评估、实施分层安全控制并建立持续安全监控。该方法遵循现代 DevSecOps 原则，采用安全左移、自动化扫描和合规性验证。每个阶段都基于前序阶段的发现逐步推进，打造稳健的安全态势，以应对当前漏洞和未来威胁。]

适用场景

• 开展协同式安全强化计划
• 在应用、基础设施和 CI/CD 各层建立纵深防御控制
• 根据扫描和威胁建模结果确定修复优先级

不适用场景

• 只需快速扫描，无需开展修复工作
• 未获得安全测试或变更的授权
• 环境无法承受侵入式安全控制

说明

1. 执行阶段 1，建立安全基线。
2. 实施阶段 2 的高风险问题修复。
3. 实施阶段 3 的控制措施并验证防御能力。
4. 完成阶段 4 的验证和合规性检查。

安全须知

• 开始主动工作前，确认准确的目标、测试方法、凭据、速率／影响限制、维护窗口和获准的变更。任务／子 Agent 名称仅为特定宿主环境中的示例；请先确认实际可用的工具，并且仅在明确授权后委派任务。将发现和密钥保存在获准的存储位置，并对报告进行脱敏。

• 扫描器输出属于未经核实的证据，不能证明漏洞可被利用。应采用获准范围内侵入性最低的方式，逐项验证发现。移动端证书锁定、加密、WAF 和依赖项变更需要针对具体威胁进行设计并制定回滚方案，不要一概安装。合规性输出仅用于评估证据和差距，不能替代独立法律意见、认证或审计师证明。

• 未获批准时，避免在生产环境中进行侵入式测试。

• 确保在实施强化变更前制定回滚计划。

阶段 1：全面安全评估

1. 初始漏洞扫描

• 使用 Task 工具，设置 subagent_type="security-auditor"
• 提示词："对以下目标开展全面安全评估：$ARGUMENTS。使用 Semgrep/SonarQube 执行 SAST 分析，使用 OWASP ZAP 执行 DAST 扫描，使用 Snyk/Trivy 审计依赖项，使用 GitLeaks/TruffleHog 检测密钥。生成 SBOM，以进行供应链分析。识别 OWASP Top 10 漏洞、CWE 弱点和 CVE 暴露情况。"
• 输出：详细漏洞报告，包含 CVSS 评分、可利用性分析、攻击面映射、密钥暴露报告和 SBOM 清单
• 背景：为所有修复工作建立初始基线

2. 威胁建模与风险分析

• 使用 Task 工具，设置 subagent_type="security-auditor"
• 提示词："使用 STRIDE 方法对以下目标开展威胁建模：$ARGUMENTS。分析攻击向量、创建攻击树，并评估已识别漏洞的业务影响。将威胁映射到 MITRE ATT&CK 框架。根据可能性和影响对风险进行优先级排序。"
• 输出：威胁模型图、含漏洞优先级的风险矩阵、攻击场景文档和业务影响分析
• 背景：利用漏洞扫描结果确定威胁优先级

3. 架构安全审查

• 使用 Task 工具，设置 subagent_type="backend-api-security::backend-architect"
• 提示词："审查以下内容的架构安全弱点：$ARGUMENTS。评估服务边界、数据流安全、身份验证/授权架构、加密实现和网络分段。设计零信任架构模式。参考威胁模型和漏洞发现。"
• 输出：安全架构评估、零信任设计建议、服务网格安全要求、数据分类矩阵
• 上下文：结合威胁模型，解决架构漏洞

第 2 阶段：漏洞修复

4. 修复严重漏洞

• 使用 Task 工具，设置 subagent_type="security-auditor"
• 提示词："协调立即修复以下内容中的高危和严重漏洞（CVSS 7+）：$ARGUMENTS。使用参数化查询修复 SQL 注入，使用输出编码防止 XSS，使用安全会话管理修复身份验证绕过，使用输入验证防止不安全反序列化。应用 CVE 安全补丁。"
• 输出：修复漏洞后的代码、安全补丁文档、回归测试要求
• 上下文：解决漏洞评估中的高优先级问题

5. 后端安全加固

• 使用 Task 工具，设置 subagent_type="backend-api-security::backend-security-coder"
• 提示词："为以下内容实施全面的后端安全控制：$ARGUMENTS。使用 OWASP ESAPI 添加输入验证，实施速率限制和 DDoS 防护，使用 OAuth2/JWT 验证保护 API 端点，使用 AES-256/TLS 1.3 为静态和传输中的数据加密。实施安全日志记录，避免泄露 PII。"
• 输出：加固后的 API 端点、验证中间件、加密实现、安全配置模板
• 上下文：在漏洞修复基础上增加预防性控制

6. 前端安全实施

• 使用 Task 工具，设置 subagent_type="frontend-mobile-security::frontend-security-coder"
• 提示词："为以下内容实施前端安全措施：$ARGUMENTS。配置基于 nonce 策略的 CSP 标头，使用 DOMPurify 防止 XSS，使用 PKCE OAuth2 保护身份验证流程，为外部资源添加 SRI，使用 SameSite/HttpOnly/Secure 标志安全处理 Cookie。"
• 输出：安全前端组件、CSP 策略配置、身份验证流程实现、安全标头配置
• 上下文：通过客户端防护措施补充后端安全

7. 移动安全加固

• 使用 Task 工具，设置 subagent_type="frontend-mobile-security::mobile-security-coder"
• 提示词："为以下内容实施移动应用安全措施：$ARGUMENTS。添加证书固定，实施生物识别身份验证，使用加密保护本地存储，使用 ProGuard/R8 混淆代码，实施防篡改和 root/jailbreak 检测，保护 IPC 通信。"
• 输出：加固后的移动应用、安全配置文件、混淆规则、证书固定实现
• 上下文：在适用时将安全防护扩展到移动平台

第 3 阶段：安全控制实施

8. 增强身份验证和授权

• 使用 Task 工具，设置 subagent_type="security-auditor"
• 提示词："为以下内容实施现代身份验证系统：$ARGUMENTS。部署带 PKCE 的 OAuth2/OIDC，使用 TOTP/WebAuthn/FIDO2 实施 MFA，添加基于风险的身份验证，遵循最小权限原则实施 RBAC/ABAC，添加支持安全令牌轮换的会话管理。"
• 输出：身份验证服务配置、MFA 实现、授权策略、会话管理系统
• 上下文：根据架构审查强化访问控制

9. 基础设施安全控制

• 使用 Task 工具，subagent_type="deployment-strategies::deployment-engineer"
• 提示词："为以下对象部署基础设施安全控制：$ARGUMENTS。配置用于 OWASP 防护的 WAF 规则，实施带有微分段的网络分段，部署 IDS/IPS 系统，配置云安全组和 NACL，实施带速率限制和地理封锁的 DDoS 防护。"
• 输出：WAF 配置、网络安全策略、IDS/IPS 规则、云安全配置
• 上下文：实施网络层防御

10. 密钥管理实施

• 使用 Task 工具，subagent_type="deployment-strategies::deployment-engineer"
• 提示词："为以下对象实施企业级密钥管理：$ARGUMENTS。部署 HashiCorp Vault 或 AWS Secrets Manager，实施密钥轮换策略，移除硬编码密钥，配置最小权限 IAM 角色，并实施支持 HSM 的加密密钥管理。"
• 输出：密钥管理配置、轮换策略、IAM 角色定义、密钥管理流程
• 上下文：消除密钥泄露漏洞

第 4 阶段：验证与合规

11. 渗透测试与验证

• 使用 Task 工具，subagent_type="security-auditor"
• 提示词："为以下对象执行全面渗透测试：$ARGUMENTS。执行已认证和未认证测试、API 安全测试、业务逻辑测试、权限提升尝试。使用 Burp Suite、Metasploit 和自定义漏洞利用程序。验证所有安全控制的有效性。"
• 输出：渗透测试报告、概念验证漏洞利用程序、修复验证、安全控制有效性指标
• 上下文：验证所有已实施的安全措施

12. 合规与标准验证

• 使用 Task 工具，subagent_type="security-auditor"
• 提示词："为以下对象验证其是否符合安全框架要求：$ARGUMENTS。根据 OWASP ASVS Level 2、CIS Benchmarks、SOC2 Type II 要求、GDPR/CCPA 隐私控制以及适用时的 HIPAA/PCI-DSS 进行验证。生成合规证明报告。"
• 输出：合规评估报告、差距分析、修复要求、审计证据收集
• 上下文：确保符合监管和行业标准

13. 安全监控与 SIEM 集成

• 使用 Task 工具，subagent_type="incident-response::devops-troubleshooter"
• 提示词："为以下对象实施安全监控和 SIEM：$ARGUMENTS。部署 Splunk/ELK/Sentinel 集成，配置安全事件关联，为异常检测实施行为分析，设置自动化事件响应手册，并创建安全仪表板和告警。"
• 输出：SIEM 配置、关联规则、事件响应手册、安全仪表板、告警定义
• 上下文：建立持续的安全监控

配置选项

• scanning_depth："quick" | "standard" | "comprehensive"（默认：comprehensive）
• compliance_frameworks：["OWASP", "CIS", "SOC2", "GDPR", "HIPAA", "PCI-DSS"]
• remediation_priority："cvss_score" | "exploitability" | "business_impact"
• monitoring_integration："splunk" | "elastic" | "sentinel" | "custom"
• authentication_methods：["oauth2", "saml", "mfa", "biometric", "passwordless"]

成功标准

• 所有高危和严重漏洞（CVSS 7+）均已修复
• 已处理 OWASP Top 10 漏洞
• 渗透测试中不存在高风险发现
• 已通过合规框架验证
• 安全监控能够检测威胁并发出告警
• 严重告警的事件响应时间 < 15 分钟
• 已生成 SBOM 并跟踪漏洞
• 所有密钥均通过安全保险库管理
• 身份验证已实施 MFA 和安全会话管理
• 安全测试已集成到 CI/CD 管道中

协调说明

• 每个阶段都会提供详细发现，为后续阶段提供依据
• 安全审计 Agent 会与特定领域的 Agent 协调修复工作
• 所有代码变更在实施前都必须经过安全审查
• 在评估和修复之间建立持续反馈循环
• 在集中式漏洞管理系统中跟踪安全发现
• 实施后安排定期安全审查

安全加固目标：$ARGUMENTS

示例

用户请求：

开展协调式安全加固计划。

局限性

• 仅当任务明确符合上述范围时，才使用此技能。
• 不要将输出视为针对特定环境的验证、测试或专家审查的替代品。
• 如果缺少必要的输入、权限、安全边界或成功标准，请停止并要求澄清。