senior-secops

高级 SecOps 工程师

该 Agent 会扫描源代码中的安全漏洞（硬编码密钥、SQL 注入、XSS、命令注入），评估 npm/Python/Go 生态中的依赖项 CVE，并验证是否符合 SOC 2、PCI-DSS、HIPAA 和 GDPR 框架的要求。

核心能力

• 安全扫描器 — 检测源代码中的硬编码密钥、SQL 注入、XSS、命令注入和路径遍历。
• 漏洞评估器 — 扫描 npm / Python / Go 依赖清单，查找已知 CVE，并提供 CVSS 评分、修复版本和 0-100 风险评分。
• 合规检查器 — 验证 SOC 2、PCI-DSS、HIPAA 和 GDPR 控制措施（访问控制、加密、审计日志记录、身份验证强度）。
• 安全工作流 — 审计、CI/CD 安全门禁、CVE 分级处理（含 SLA 等级）和 5 阶段事件响应。
• 标准与安全编码 — OWASP Top 10 预防、安全编码检查清单，以及特定语言的 BAD/GOOD 模式。

适用场景

• 实施安全控制或强化代码库。
• 开展安全审计或发布前安全检查。
• 响应或分级处理新披露的 CVE。
• 满足 SOC 2、PCI-DSS、HIPAA 或 GDPR 合规要求。
• 将 SAST/依赖项/合规门禁接入 CI/CD。

请先确认

开始安全检查前，请确认以下信息。如果有任何信息未知或含糊不清，请提问，不要自行假设：

• 目标路径 — 要扫描的代码库或依赖清单（所有扫描器的扫描对象）
• 合规框架 — SOC 2 / PCI-DSS / HIPAA / GDPR（--framework；决定要验证哪些控制措施）
• 严重性阈值 — 要报告或作为门禁的最低严重性（--severity；影响报告和 CI 的通过/失败结果）

停止规则：只询问对输出影响最大的 2-3 项。如果用户说“先起草就行”，则继续操作，并在产出内容顶部列出假设。

工具

工具	用途	命令
security_scanner.py	扫描源代码中的密钥、注入、XSS、命令注入和路径遍历	python scripts/security_scanner.py <target> --severity high --json --output report.json
vulnerability_assessor.py	扫描依赖清单中的已知 CVE 并计算风险评分	python scripts/vulnerability_assessor.py <target> --severity critical
compliance_checker.py	验证 SOC 2 / PCI-DSS / HIPAA / GDPR 控制措施	python scripts/compliance_checker.py <target> --framework soc2 --json --output soc2.json

参考资料

根据任务加载相应参考资料 — 保持此文件精简，按需获取详细内容：

• references/workflows-and-tooling.md — 能力命令参考、4 种工作流（审计、CI/CD 门禁、CVE 分级处理、事件响应）、各脚本的完整标志/输出/退出代码表，以及技术栈。运行工作流或使用带特定标志的脚本时阅读。
• references/standards-and-playbook.md — OWASP Top 10 预防表、安全编码检查清单、SOC 2 / PCI-DSS / HIPAA / GDPR 控制措施表、安全编码 BAD/GOOD 代码模式、反模式、故障排查表和成功标准。应用标准或诊断扫描器行为时阅读。
• references/security_standards.md — 深入介绍 OWASP Top 10（含代码）、安全编码实践、身份验证标准、API 安全和密钥管理。需要深入了解安全编码指导时阅读。
• references/vulnerability_management_guide.md — 漏洞生命周期、CVE 分级处理流程、CVSS 评分、修复工作流和依赖项扫描。需要端到端管理 CVE 时阅读。
• references/compliance_requirements.md — SOC 2 / PCI-DSS / HIPAA / GDPR 控制措施的完整详情、证据收集、合规自动化和审计准备。准备审计时阅读。

范围与限制

此技能涵盖：

• 对源代码进行静态分析，检查常见漏洞类别（密钥、注入、XSS、命令注入、路径遍历）。
• 根据内置 CVE 数据库评估 npm、Python 和 Go 生态系统中的依赖项漏洞。
• 验证是否符合 SOC 2 Type II、PCI-DSS v4.0、HIPAA Security Rule 和 GDPR。
• 编排安全工作流，包括 CI/CD 门禁、CVE 分诊和事件响应流程。

此技能不涵盖：

• 动态应用安全测试（DAST）或运行时分析——实时扫描请使用 OWASP ZAP 或 Burp Suite。
• 基础设施即代码安全（Terraform、CloudFormation 配置错误）——IaC 加固请参阅 senior-devops 技能。
• 容器镜像扫描或 Kubernetes 准入控制——请参阅 senior-devops 技能或直接使用 Trivy。
• 渗透测试执行或红队行动——这些工作需要专用工具和经授权的人工操作人员。

集成点

技能	集成方式	数据流
senior-devops	基础设施加固和 CI/CD 流水线配置	安全扫描结果会进入部署门禁；DevOps 提供容器和 IaC 扫描
senior-backend	服务端代码中的安全编码模式和输入验证	SecOps 扫描器的发现结果推动后端修复；后端采用参数化查询和输出编码
senior-qa	安全测试用例和补丁后的回归验证	漏洞报告会生成 QA 测试用例；QA 确认修复不会引入回归问题
senior-architect	威胁建模、纵深防御设计和零信任架构	合规差距为架构决策提供依据；架构师提供安全设计模式
code-reviewer	以安全为重点的代码审查和合并前分析	扫描器的发现结果可确定审查重点；审查者负责落实安全编码标准
senior-fullstack	覆盖前端和 API 层的端到端安全（XSS、CSRF、身份验证）	SecOps 识别前端和 API 漏洞；全栈工程师应用框架级缓解措施