Security Auditor
Realice auditorías de seguridad expertas y evaluaciones de cumplimiento
Las organizaciones luchan por integrar la seguridad en los flujos de trabajo de desarrollo y cumplir con los requisitos de cumplimiento. Esta habilidad proporciona experiencia integral en auditoría de seguridad, incluyendo integración de DevSecOps, evaluación de vulnerabilidades y orientación sobre cumplimiento normativo.
Descargar el ZIP de la skill
Subir en Claude
Ve a Configuración → Capacidades → Skills → Subir skill
Activa y empieza a usar
Pruébalo
Usando "Security Auditor". Solicitud de auditoría de seguridad para API REST con autenticación JWT
Resultado esperado:
- Resumen de Evaluación de Seguridad
- Crítico: Tokens JWT almacenados en localStorage - vulnerable a XSS. Recomendación: Usar cookies httpOnly con SameSite=Strict
- Alto: Falta limitación de tasa en endpoints de autenticación - permite fuerza bruta. Recomendación: Implementar limitación de tasa con retroceso exponencial
- Medio: Sin validación de entrada en registro de usuario - potencial inyección. Recomendación: Añadir validación de esquema y saneamiento
- Bajo: Faltan encabezados de seguridad. Recomendación: Añadir CSP, HSTS, encabezados X-Frame-Options
Usando "Security Auditor". Diseño de pipeline DevSecOps para aplicación Node.js
Resultado esperado:
- Diseño de Pipeline de Seguridad CI/CD
- Pre-commit: Hooks Husky con eslint-plugin-security
- Etapa de Construcción: npm audit, escaneo de dependencias Snyk, SAST SonarQube
- Etapa de Pruebas: Escaneo DAST OWASP ZAP, escaneo de imágenes de contenedores con Trivy
- Etapa de Despliegue: Validación de políticas OPA, controles de admisión Kubernetes
- Post-despliegue: Monitoreo continuo con seguridad de runtime Falco
Auditoría de seguridad
SeguroThis is a prompt-only skill containing security auditing guidance and knowledge. No executable code, network calls, filesystem access, or external commands detected. The skill provides expert security knowledge without any security risks.
Puntuación de calidad
Lo que puedes crear
Auditoría de Seguridad para Microservicios
Realizar evaluación de seguridad integral de arquitectura de microservicios incluyendo seguridad de API, seguridad de contenedores e integración de pipeline DevSecOps.
Evaluación de Preparación para Cumplimiento
Prepararse para cumplimiento SOC 2, GDPR o HIPAA con análisis de brechas, orientación sobre implementación de controles y documentación de preparación para auditoría.
Taller de Modelado de Amenazas
Facilitar sesiones estructuradas de modelado de amenazas usando la metodología STRIDE para identificar y priorizar riesgos de seguridad en nuevos diseños de aplicaciones.
Prueba estos prompts
Revisa este fragmento de código en busca de vulnerabilidades de seguridad. Identifica cualquier problema de OWASP Top 10, sugiere correcciones y explica el impacto de seguridad de cada hallazgo.
Diseña un pipeline de escaneo de seguridad para nuestro flujo de trabajo CI/CD. Incluye SAST, DAST, escaneo de dependencias y escaneo de imágenes de contenedores con recomendaciones específicas de herramientas y pasos de integración.
Realiza modelado de amenazas para nuestra aplicación usando la metodología STRIDE. La arquitectura de la aplicación incluye: [describir arquitectura]. Identifica amenazas, evalúa niveles de riesgo y recomienda mitigaciones para cada categoría de amenaza.
Realiza un análisis de brechas contra los requisitos de [GDPR/HIPAA/SOC 2/ISO 27001]. Revisa nuestros controles actuales: [describir controles]. Identifica brechas, prioriza esfuerzos de remediación y proporciona orientación de implementación para cada requisito.
Mejores prácticas
- Integrar el escaneo de seguridad temprano en el ciclo de vida de desarrollo para detectar vulnerabilidades antes de que lleguen a producción
- Aplicar principios de defensa en profundidad con múltiples capas de seguridad en lugar de confiar en controles únicos
- Automatizar la validación de seguridad en pipelines CI/CD para garantizar la aplicación consistente de seguridad en todos los despliegues
Evitar
- Ejecutar pruebas de seguridad intrusivas en entornos de producción sin autorización por escrito y salvaguardas apropiadas
- Almacenar secretos en variables de entorno o archivos de configuración en lugar de usar soluciones dedicadas de gestión de secretos
- Tratar los resultados de escaneos automatizados como validación de seguridad completa sin revisión manual y análisis de contexto