mcpField
S
senior-security

senior-security

github.com/borghei安全1.0k200 次安装6 天前更新
代码仓库

关于 senior-security

面向应用团队的安全工程技能，涵盖威胁建模、安全架构、代码审查、漏洞评估和事件响应。附带脚本可用 DREAD 评分进行 STRIDE 分析，并扫描代码库中的硬编码凭据。

主要功能

  1. 01结合 DREAD 评分的 STRIDE 分析
  2. 02纵深防御与零信任架构设计
  3. 03聚焦 OWASP 的安全代码审查
  4. 04漏洞评估与响应规划
  5. 05扫描 20 多种模式的机密
  6. 06应用层合规映射

适用场景

  1. 01建模威胁并制定缓解措施
  2. 02部署前审查应用代码
  3. 03扫描代码库中的暴露凭据
  4. 04规划事件分级与遏制

安装

复制下面的命令，在终端中运行。

$npx skills add https://github.com/borghei/claude-skills --skill senior-security

安装后在 Claude Code 中输入/senior-security确认已加载。

包含的文件

除 SKILL.md 外，安装时一起下载的参考资料和脚本。

references/
cryptography-implementation.md
security-architecture-patterns.md
security-workflows.md
threat-modeling-guide.md
tool-reference.md
scripts/
secret_scanner.py
threat_modeler.py

详细介绍

高级安全工程师

该 Agent 使用 STRIDE 进行威胁分析，并通过 DREAD 进行风险评分；基于零信任原则设计纵深防御安全架构；依据 OWASP Top 10 开展安全代码审查；并扫描代码库，查找 20 多种凭据模式中的硬编码机密。

核心能力

  • 威胁建模 — 按元素进行 STRIDE 分析、DREAD 风险评分、创建 DFD、绘制攻击树并映射缓解措施。
  • 安全架构 — 纵深防御分层、零信任、选择身份验证模式（OAuth/OIDC、JWT、mTLS、FIDO2）以及加密策略。
  • 漏洞评估 — 自动化测试（SAST/DAST/依赖项/机密）与手动测试相结合、映射 OWASP Top 10、严重性分类和修复跟踪。
  • 安全代码审查 — 使用检查清单和安全与不安全模式目录，审查身份验证/授权、数据处理和加密。
  • 事件响应 — 分诊、遏制、根除、恢复、事后复盘，并提供严重性等级和运行手册检查清单。
  • 机密检测 — secret_scanner.py 可查找 20 多种凭据模式（AWS/GCP/Azure、GitHub/Slack/Stripe、私钥）；退出代码适用于 CI/CD。
  • 合规映射 — 在应用层映射 OWASP ASVS、CIS Benchmarks、NIST CSF、PCI-DSS、HIPAA、SOC 2。

适用场景

  • 对系统或组件进行威胁建模或攻击面分析。
  • 在部署前审查代码中的漏洞。
  • 设计安全的纵深防御或零信任架构。
  • 扫描代码库中的硬编码机密和凭据。
  • 开展漏洞评估或规划事件响应。

首先确认

在进行威胁建模或扫描前，请先确认以下输入。如果某项缺失或含糊不清，且会影响结果，请询问用户；如果不会影响结果，则采用合理的默认值并说明所用默认值。

  • 目标组件/系统： 要进行威胁建模或扫描的对象（--component；用于界定 STRIDE 分析范围）。
  • 资产和信任边界： 需要保护的内容以及不可信输入的入口位置（影响 DREAD 评分和缓解措施）。
  • 任务： 威胁建模/代码漏洞审查/机密扫描/事件响应计划（用于选择工具和输出）。

只询问本次请求中最重要的两三项输入，而非整份清单。如果用户希望立即获得结果，则直接给出结果，并在开头说明假设。

工具

工具用途命令
threat_modeler.py使用 DREAD 风险评分和缓解建议进行 STRIDE 威胁分析python scripts/threat_modeler.py --component "API Gateway" --json
secret_scanner.py检测 20 多种模式中的硬编码机密/凭据（退出代码适用于 CI/CD）python scripts/secret_scanner.py /path/to/project --severity high

参考资料

加载与任务相匹配的参考资料 — 保持此文件精简，并按需查阅详细内容：

  • references/security-workflows.md — 5 个完整工作流（威胁建模、安全架构、漏洞评估、安全代码审查、事件响应），以及所有决策矩阵（STRIDE、OWASP Top 10、严重性、代码审查清单）、安全工具目录、合规框架、安全标头、反模式、故障排除表和成功标准。执行任何安全工作流时请阅读。
  • references/threat-modeling-guide.md — STRIDE 方法、攻击树、DREAD 评分、DFD 创建、威胁模板。构建威胁模型时请阅读。
  • references/security-architecture-patterns.md — 零信任、纵深防御、身份验证模式（OAuth/PKCE、JWT、MFA）、API 安全、数据保护、密钥管理。设计安全架构时请阅读。
  • references/cryptography-implementation.md — AES-GCM、ChaCha20、RSA、Ed25519、密码哈希（Argon2/bcrypt）、HMAC、密钥管理/轮换、HSM 集成、常见加密错误。实施或审查加密方案时请阅读。
  • references/tool-reference.md — threat_modeler.py 和 secret_scanner.py 的完整标志表、用法示例和输出格式。运行捆绑脚本时请阅读。

范围与限制

此技能涵盖：

  • 应用层安全：Web 应用和 API 的威胁建模、安全代码审查、密钥检测和漏洞评估。
  • 安全架构设计：纵深防御分层、零信任模式、身份验证/授权模型选择和加密策略。
  • 事件响应规划：严重性分类、遏制流程、事后分析框架和运行手册创建。
  • 合规映射：应用层面的 OWASP ASVS、CIS Benchmarks、NIST CSF、PCI-DSS、HIPAA 和 SOC 2 对齐。

此技能不涵盖：

  • 基础设施和云安全加固（参见 senior-devops 和 aws-solution-architect）。
  • 运行时安全监控、SIEM 规则编写和 SOC 运营（参见 senior-secops）。
  • 完整的法规合规计划、审计证据收集和认证流程（参见 ra-qm-team）。
  • 网络渗透测试工具、红队行动和物理安全评估。

集成点

技能集成方式数据流
senior-devopsCI/CD 流水线安全门禁威胁模型的缓解措施转化为流水线加固要求；密钥扫描器作为提交前步骤或 CI 步骤运行
senior-secops安全监控和事件响应威胁模型输出用于制定检测规则；事件严重性级别与 SecOps 告警等级对齐
senior-backend安全 API 开发将安全代码审查清单应用于后端 PR；身份验证模式选择为 API 身份验证实现提供指导
senior-architect安全架构决策纵深防御层和零信任原则为架构设计评审提供依据；STRIDE 结果纳入架构风险登记表
senior-qa安全测试集成漏洞评估结果转化为 QA 回归测试用例；OWASP Top 10 映射指导安全测试覆盖范围
ra-qm-team合规框架对齐将安全控制映射到 SOC 2、PCI-DSS 和 HIPAA 要求；威胁模型文档满足审计证据需求

评论

支持 Markdown