关于 workflow-security-audit
面向 Agent 的安全审计工作流技能，覆盖从威胁建模到修复和合规检查的评估流程。它将扫描、审查、测试、验证与文档整理为九个阶段。
主要功能
- 01九阶段安全审计流程
- 02威胁建模与风险排序
- 03依赖项、代码和密钥自动扫描
- 04人工审查与渗透测试
- 05修复规划与结果验证
- 06合规检查与审计文档
适用场景
- 01评估应用和基础设施风险
- 02通过扫描和代码审查发现漏洞
- 03规划并验证安全修复
- 04准备审计及合规文档
安装
复制下面的命令，在终端中运行。
$
npx skills add https:/安装后在 Claude Code 中输入/workflow-security-audit确认已加载。
详细介绍
安全审计工作流
全面的安全评估流程。
阶段 1：威胁评估
Agents： security-auditor
范围：
- 身份验证与授权
- 数据保护
- API 安全
- 依赖项漏洞
- 基础设施安全
输出： 威胁模型、风险评估、优先级列表
阶段 2：自动化扫描
Agents： security-auditor
运行工具：
- 依赖项检查（npm audit、pip-audit、cargo audit）
- 静态分析（semgrep、bandit 等）
- 密钥扫描（trufflehog、gitleaks）
输出： 包含严重性评级的漏洞报告
阶段 3：手动代码审查
Agents： security-auditor
重点领域：
- 输入验证
- 输出编码
- 身份验证逻辑
- 授权检查
- 密码学用法
- 会话管理
阶段 4：渗透测试
Agents： security-auditor
测试项目：
- SQL 注入
- XSS 攻击
- CSRF 攻击
- 身份验证绕过
- 权限提升
阶段 5：修复规划
Agents： requirements-analyst
- 根据漏洞报告创建修复任务
- 按严重性确定优先级
- 估算时间线
- 分配资源
阶段 6：修复实施
阻塞条件： 继续前必须完成验证
阶段 7：安全验证
Agents： security-auditor
- 重新测试所有已发现的漏洞
- 回归检查
- 验证修复不会引入新问题
阶段 8：文档编写
Agents： technical-writer
- 安全审计报告
- 合规文档
- 安全最佳实践指南
阶段 9：合规性检查
Agents： security-auditor
标准：
- OWASP Top 10
- GDPR（如适用）
- SOC2（如适用）
- HIPAA（如适用）
成功标准
- 所有严重漏洞均已修复
- 所有高危漏洞均已修复
- 满足合规要求
- 安全测试通过
严重性级别
| 级别 | 响应时间 | 示例 |
|---|---|---|
| 严重 | 立即 | RCE、身份验证绕过、数据泄露 |
| 高 | 24-48h | SQL 注入、权限提升 |
| 中 | 1 周 | XSS、CSRF、信息泄露 |
| 低 | 下一迭代 | 违反最佳实践 |
评论
支持 Markdown