📦
pytm
81بناء نماذج تهديدات pytm ككود
غالبا ما تصبح نمذجة التهديدات قديمة ومنفصلة عن تغييرات البنية. تساعد هذه المهارة في إنشاء نماذج pytm، وتحليل STRIDE، وسير عمل المخططات لمراجعات الأمان وCI.
الأمان والامتثال عرض
المهارات sca-trivy
📦
sca-trivy
v0.1.0 مراجعة المحتوى r2 مخاطر عالية ⚙️ الأوامر الخارجية🌐 الوصول إلى الشبكة📁 الوصول إلى نظام الملفات
فحص الحاويات والاعتماديات باستخدام Trivy
يمكن أن تؤدي CVEs غير المعروفة وأخطاء التهيئة إلى تأخير الإصدارات الآمنة. ترشد هذه المهارة إلى عمليات فحص Trivy، وإنشاء SBOM، وترتيب أولويات المعالجة عبر مسارات التسليم الشائعة.
يدعم: Claude Codex Code(CC)
هذه المهارة جزء من حزمة
ثبّت الحزمة كاملة للحصول على كل المهارات التي تحتاجها المهمة بأمر واحد.
توقف واطلب التأكيد قبل التثبيت.
راجع الخطة واحصل على موافقة صريحة من المستخدم قبل تغيير الملفات.
التثبيت باستخدام Agent لدي
انسخ هذا الطلب إلى Agent لديك. يتضمن صفحة Skill المعتمدة وملف manifest.
طلب الوكيل
Review the Skillstore skill "sca-trivy" from https://skillstore.io/skills/agentsecops-sca-trivy.md and its manifest at https://skillstore.io/api/skills/agentsecops-sca-trivy/manifest. Verify the artifact. Stop and obtain explicit user consent before installing or changing files.يجب أن يواصل Agent عرض خطته وطلب أي تأكيد تفرضه سياسة الأمان.
موارد مهيّأة لـ Agents
استخدم هذه الروابط عندما يحتاج AI Agent أو crawler أو script إلى سياق نظيف بدلًا من قراءة الصفحة كاملة.
اختبرها
جارٍ استخدام "sca-trivy". قيّم ما إذا كانت صورة حاوية جاهزة لإصدار الإنتاج.
النتيجة المتوقعة:
- يغطي نطاق الفحص حزم نظام التشغيل، ومكتبات التطبيق، والأسرار، ونتائج التهيئة.
- يجب أن يمنع الإصدار عند وجود نتائج حرجة لها إصلاحات متاحة ما لم يتم قبول المخاطر رسميا.
- المتابعة الموصى بها هي إعادة البناء من صورة أساس مصححة وإعادة الفحص قبل الترقية.
جارٍ استخدام "sca-trivy". أنشئ خطة معالجة لمستودع يحتوي على اعتماديات ضعيفة.
النتيجة المتوقعة:
- تجمع النتائج حسب مالك الحزمة، ومستوى الخطورة، وتوفر الإصدار المصحح.
- يستهدف العمل الفوري الثغرات الحرجة والعالية القابلة للاستغلال في اعتماديات وقت التشغيل.
- تنتقل النتائج الأقل خطورة إلى قائمة الأعمال المتراكمة مع تحديد المالكين وتواريخ المراجعة.
جارٍ استخدام "sca-trivy". حضّر إرشادات SBOM لمراجعة أمان عميل.
النتيجة المتوقعة:
- استخدم CycloneDX أو SPDX بناء على متطلبات تنسيق العميل.
- تعامل مع SBOM على أنه حساس لأنه يسرد المكونات والإصدارات الداخلية.
- ارفق SBOM بملخص للثغرات وحالة المعالجة الحالية.
التدقيق الأمني
مخاطر عاليةv9 • ٢٣/٧/٢٠٢٦ فتح التقرير المرتبط بالإصدار
All 73 static findings are false positives caused by Markdown code fences, inline code, reference links, and documented configuration paths. Semantic review found mutable CI references, credential exposure guidance, and an ineffective custom-policy gate. These examples require hardening before publication.
1
الملفات التي تم فحصها
458
الأسطر التي تم تحليلها
0
عناصر المراجعة
0
تم تجاهل الإيجابيات الكاذبة
مخاوف أمنية مؤكدة (3)
مرتفع
Mutable CI Action References
The CI example uses mutable action references, including aquasecurity/trivy-action@master. A changed upstream ref could execute unreviewed code inside trusted CI.
The example directly uses a mutable master branch and mutable major-version action tags in a CI job.
متوسط
Registry Credential Exposure Guidance
Authentication guidance exports TRIVY_PASSWORD and passes --password pass. Real substitutions can leak through shell history, process inspection, logs, or CI traces.
The documented commands explicitly place a password in an environment variable and command-line argument, both common credential exposure paths.
متوسط
Ineffective Custom Policy Gate
The policy example labels --ignore-policy as enforcement but omits a failing exit code. Pipelines may report success while unacceptable findings remain.
The shown command filters with an ignore policy and provides no nonzero exit threshold, despite claiming to deny vulnerable images.
عوامل الخطر
⚙️ الأوامر الخارجية (50)
SKILL.md:39-56 SKILL.md:56-64 SKILL.md:64-76 SKILL.md:76-88 SKILL.md:88-93 SKILL.md:93-101 SKILL.md:101-113 SKILL.md:113-124 SKILL.md:124-147 SKILL.md:147-151 SKILL.md:151-162 SKILL.md:162-164 SKILL.md:164-170 SKILL.md:170-179 SKILL.md:179-194 SKILL.md:194-223 SKILL.md:223-225 SKILL.md:225-226 SKILL.md:226-227 SKILL.md:227-228 SKILL.md:228-230 SKILL.md:230-232 SKILL.md:232-233 SKILL.md:233-234 SKILL.md:234-235 SKILL.md:235-237 SKILL.md:237-239 SKILL.md:239-240 SKILL.md:240-241 SKILL.md:241-242 SKILL.md:242-243 SKILL.md:243-251 SKILL.md:251-266 SKILL.md:266-272 SKILL.md:272-279 SKILL.md:279-285 SKILL.md:285-291 SKILL.md:291-302 SKILL.md:302-309 SKILL.md:309-315 SKILL.md:315-343 SKILL.md:343-344 SKILL.md:344-345 SKILL.md:345-347 SKILL.md:347-354 SKILL.md:354-355 SKILL.md:355-356 SKILL.md:356-357 SKILL.md:357-358 SKILL.md:358-369
🌐 الوصول إلى الشبكة (10)
📁 الوصول إلى نظام الملفات (2)
دقّقه: codex عرض سجل التدقيق →
شارك واستشهد بهذا التقرير
شارك تقرير التقييم المرتبط بالإصدار والشارة المحايدة وبطاقة التضمين والاستشهادات. تعرض Skillstore الأدلة من دون أن تقرر ما إذا كانت هذه المهارة آمنة.
نسخ رابط التقرير
https://skillstore.io/skills/agentsecops-sca-trivy/audits/9?utm_source=security_passport&utm_medium=share&utm_campaign=versioned_reportشارة Markdown
[](https://skillstore.io/skills/agentsecops-sca-trivy?utm_source=security_passport_badge)شارة HTML
<a href="https://skillstore.io/skills/agentsecops-sca-trivy?utm_source=security_passport_badge"><img src="https://skillstore.io/badges/skills/agentsecops-sca-trivy/security.svg" alt="Skillstore security assessment" loading="lazy"></a>بطاقة قابلة للتضمين
<iframe src="https://skillstore.io/embed/skills/agentsecops-sca-trivy.html" title="Skillstore Security Assessment" sandbox="allow-popups allow-popups-to-escape-sandbox" loading="lazy" referrerpolicy="no-referrer" width="420" height="180"></iframe>الاستشهادات الأكاديمية (APA · BibTeX · CFF)
اقتباس APA
AgentSecOps. (2026). sca-trivy security audit report (audit version 9) [Author version 0.1.0]. Skillstore. https://skillstore.io/skills/agentsecops-sca-trivy/audits/9اقتباس BibTeX
@techreport{agentsecops-agentsecops-sca-trivy-2026,
author = {AgentSecOps},
title = {sca-trivy security audit report (audit version 9)},
institution = {Skillstore},
year = {2026},
number = {9},
url = {https://skillstore.io/skills/agentsecops-sca-trivy/audits/9},
note = {Author version 0.1.0}
}CITATION.cff
cff-version: 1.2.0
message: "If you use this Skill, cite its author and this versioned security audit report."
title: "sca-trivy security audit report (audit version 9)"
version: "0.1.0"
type: report
authors:
- name: "AgentSecOps"
date-released: "2026-07-23"
url: "https://skillstore.io/skills/agentsecops-sca-trivy/audits/9"
identifiers:
- type: other
value: "skillstore:agentsecops-sca-trivy:audit:9"
description: "Skillstore immutable audit report identifier"
تقييم Skillstore
سبب هذا التقييم موثوقية الأدلة: متوسط 55
الهندسة المعمارية
100
قابلية الصيانة
87
المحتوى
72
المجتمع
91
الامتثال للمواصفات
ما الذي يمكنك بناؤه
بوابة إصدار لصور الحاويات
افحص الصور قبل النشر وحدد ما إذا كانت الثغرات الحرجة أو العالية يجب أن تمنع الإصدار.
مراجعة مخاطر الاعتماديات
راجع اعتماديات المشروع، وحدد الإصدارات المصححة، وأنشئ خطة معالجة مركزة لفرق التطوير.
SBOM وأدلة الامتثال
أنشئ مخرجات SBOM ولخص مخاطر المكونات لأغراض التدقيق أو المشتريات أو مراجعات أمان العملاء.
جرّب هذه الموجّهات
فحص صورة واحدة
استخدم مهارة Trivy لتخطيط فحص ثغرات للصورة <image>:<tag>. اشرح المتطلبات المسبقة، ونطاق الفحص، وخطوات مراجعة الخطورة.
مراجعة اعتماديات المشروع
استخدم مهارة Trivy لتقييم هذا المستودع بحثا عن CVEs في الاعتماديات. ضمّن فحوصات ملفات القفل، ومرشحات الخطورة، وأولويات المعالجة.
إضافة بوابة أمان في CI
استخدم مهارة Trivy لتصميم فحص CI لطلبات السحب. ضمّن مخرجات SARIF، ومعايير الفشل، وإرشادات التعامل مع القطع الأثرية.
بناء برنامج لسلسلة التوريد
استخدم مهارة Trivy لتعريف مسار عمل لفحص سلسلة التوريد يتضمن فحوصات الصور، وفحوصات IaC، وإنشاء SBOM، وخطوط الأساس، والتعامل مع الاستثناءات.
أفضل الممارسات
- شغّل الفحوصات باستخدام قواعد بيانات Trivy حديثة وسجل وقت الفحص، والهدف، ومرشحات الخطورة.
- استخدم ملفات القفل ووسوم الصور الدقيقة حتى ترتبط النتائج بمدخلات بناء قابلة لإعادة الإنتاج.
- خزن تقارير الثغرات وSBOMs بالضوابط نفسها المستخدمة لأدلة الأمان الأخرى.
تجنب
- لا تكتم CVEs دون مالك، وسبب، وتاريخ انتهاء، وملاحظات عن ضوابط تعويضية.
- لا تعامل الخطورة وحدها كأولوية نهائية عندما تختلف قابلية الاستغلال والتعرض.
- لا تنشر SBOMs أو التقارير على نطاق واسع دون مراجعة تفاصيل المكونات الحساسة.
الأسئلة المتكررة
هل تثبت هذه المهارة Trivy؟
لا. إنها تشرح مسارات عمل Trivy. يجب أن يكون Trivy مثبتا بالفعل أو متاحا في بيئة التنفيذ.
هل يمكنها فحص صور حاويات خاصة؟
نعم، إذا وفر المستخدم وصولا إلى السجل من خلال تعامل آمن مع بيانات الاعتماد ومعتمد لتلك البيئة.
هل تنشئ SBOMs؟
نعم. تشرح المهارة إنشاء SBOM بتنسيقي CycloneDX وSPDX للصور ومشاريع نظام الملفات.
هل يمكن استخدامها مع Claude وCodex وClaude Code؟
نعم. يشير التقرير إلى دعم مسارات عمل Claude وCodex وClaude Code.
هل تحل محل المراجعة اليدوية للثغرات؟
لا. إنها تساعد في جمع النتائج وترتيب أولوياتها، لكن يجب على فرق الأمان التحقق من الأثر والمخاطر المقبولة.
ما البيانات التي يجب حمايتها؟
احم تقارير الفحص، وSBOMs، وبيانات اعتماد السجل، وقطع CI الأثرية لأنها قد تكشف تفاصيل البرمجيات الداخلية.
تفاصيل المطور
المؤلف
AgentSecOpsالترخيص
MIT
إصدار المؤلف
v0.1.0
مراجعة Skillstore
r2
مرجع
181fdefcafd96b041926e61c4b2e306ca7e7820e
حداثة الصيانة
٢٧/٧/٢٠٢٦
الاستخدام
12 تنزيلات · 317 مشاهدات
بنية الملفات
📄 SKILL.md
المزيد من AgentSecOps
عرض الكل📦
container-hadolint
72التحقق من ملفات Dockerfile باستخدام Hadolint
يمكن أن تخفي ملفات Dockerfile حزماً غير آمنة، ومستخدمي root، ونقاط دخول ضعيفة، وأخطاء في التعامل مع الأسرار. ترشد هذه المهارة إلى عمليات فحص Hadolint، وبوابات CI، وخطوات المعالجة قبل بناء الصور.
الأمان والامتثال عرض
📦
dast-nuclei
38تشغيل فحوصات Nuclei DAST
قد تفوّت الفحوصات اليدوية للثغرات CVEs المعروفة ومشكلات التهيئة عبر تطبيقات الويب وواجهات APIs. تساعد هذه المهارة في تخطيط فحوصات Nuclei، وضبط سير عمل CI، ومراجعة النتائج.
الأمان والامتثال عرض
📦
sast-semgrep
38فحص الكود باستخدام Semgrep SAST
تحتاج فرق التطوير إلى مراجعة أمنية ثابتة وقابلة للتكرار دون بناء القواعد من الصفر. ترشد هذه المهارة عمليات فحص Semgrep، والربط مع OWASP وCWE، وتخطيط المعالجة، والتكامل مع CI.
الأمان والامتثال عرض
📦
dast-zap
38فحص تطبيقات الويب باستخدام OWASP ZAP
يصعب توحيد اختبار أمان الويب وقت التشغيل عبر الفرق. توفر هذه المهارة تدفقات عمل OWASP ZAP للفحوصات المصرح بها، واختبار API، والمصادقة، وتقارير CI/CD.
الأمان والامتثال عرض
📦
sast-bandit
38فحص كود Python باستخدام Bandit SAST
تحتاج فرق Python إلى فحوصات أمنية سريعة قبل وصول الكود إلى CI. ترشد هذه المهارة إلى فحوصات Bandit، وإعداد pre-commit، والربط مع OWASP وCWE، والمعالجة.
الأمان والامتثال عرض
مهارات ذات صلة
عرض الكل📦
security-scanning-security-dependencies
69فحص مخاطر أمان التبعيات
بواسطة sickn33
يصعب تتبع ثغرات التبعيات ومخاطر التراخيص عبر الأنظمة البيئية المختلفة. ترشد هذه المهارة إلى الفحص، وتحديد الأولويات، وإنشاء SBOM، وتخطيط المعالجة.
الأمان والامتثال عرض
📦
security-analyzer
80تحليل مخاطر أمان المشروع
بواسطة Cornjebus
تكون مراجعات الأمان بطيئة عندما تكون بيانات التبعيات والحاويات وIaC موزعة عبر مستودع. تحصر هذه المهارة الأصول، وتتحقق من OSV.dev، وتعد تقارير معالجة ذات أولويات.
الأمان والامتثال عرض
📦
security-sentinel
79تدقيق الكود بحثًا عن مخاطر أمنية
بواسطة Barnhardt-Enterprises-Inc
من السهل شحن الكود الحساس أمنيًا مع عيوب خفية في المصادقة ومعالجة المدخلات والأسرار. تمنح هذه المهارة Claude وCodex وClaude Code مراجع أمنية منظمة وإرشادات للماسحات لإجراء مراجعات أكثر أمانًا.
الأمان والامتثال عرض
📦
codebase-cleanup-deps-audit
78تدقيق أمان التبعيات ومخاطر التراخيص
بواسطة sickn33
يصعب تحديد أولويات مخاطر التبعيات عبر الثغرات والتراخيص والتحديثات وإشارات سلسلة التوريد. ترشد هذه المهارة Claude وCodex وClaude Code خلال عمليات تدقيق منظمة وخطط معالجة.
الأمان والامتثال عرض
📦
security
78التحقق من أمان المشروع
بواسطة ByronWilliamsCPA
قد تفوّت مراجعات الأمان الأسرار، والإعدادات الضعيفة، ومخاطر الاعتماديات. ترشد هذه المهارة Claude وCodex وClaude Code عبر فحوصات منظمة وتخطيط المعالجة.
الأمان والامتثال عرض
📦
vulnerability-scanner
75مراجعة مخاطر الثغرات باستخدام إرشادات OWASP
بواسطة sickn33
غالبًا ما تفتقر مراجعات الأمان إلى السياق عندما تُسرد النتائج من دون مسارات هجوم أو مخاطر تجارية. تجمع هذه المهارة بين إرشادات OWASP والفحوصات المحلية ومطالبات تحديد الأولويات لتنفيذ عمل أمني قابل للتطبيق.
الأمان والامتثال عرض