Security Auditor
전문가 보안 감사 및 규정 준수 평가 수행
조직들은 개발 워크플로우에 보안을 통합하고 규정 준수 요구사항을 충족하는 데 어려움을 겪고 있습니다. 이 스킬은 DevSecOps 통합, 취약점 평가 및 규제 규정 준수 지침을 포함한 포괄적인 보안 감사 전문성을 제공합니다.
스킬 ZIP 다운로드
Claude에서 업로드
설정 → 기능 → 스킬 → 스킬 업로드로 이동
토글을 켜고 사용 시작
테스트해 보기
"Security Auditor" 사용 중입니다. JWT 인증이 포함된 REST API 에 대한 보안 감사 요청
예상 결과:
- 보안 평가 요약
- Critical: JWT 토큰이 localStorage 에 저장됨 - XSS 에 취약함. 권장사항: SameSite=Strict 가 있는 httpOnly 쿠키 사용
- High: 인증 엔드포인트에 속도 제한 없음 - 무차별 대입 공격 가능. 권장사항: 지수 백오프를 통한 속도 제한 구현
- Medium: 사용자 등록 시 입력 유효성 검사 없음 - 잠재적 인젝션. 권장사항: 스키마 유효성 검사 및 소니제이션 추가
- Low: 보안 헤더 누락. 권장사항: CSP, HSTS, X-Frame-Options 헤더 추가
"Security Auditor" 사용 중입니다. Node.js 애플리케이션을 위한 DevSecOps 파이프라인 설계
예상 결과:
- CI/CD 보안 파이프라인 설계
- Pre-commit: eslint-plugin-security 를 사용한 Husky 훅
- 빌드 단계: npm audit, Snyk 종속성 스캔, SonarQube SAST
- 테스트 단계: OWASP ZAP DAST 스캔, Trivy 를 사용한 컨테이너 이미지 스캔
- 배포 단계: OPA 정책 검증, Kubernetes 어드미션 컨트롤
- 배포 후: Falco 런타임 보안으로 지속적 모니터링
보안 감사
안전This is a prompt-only skill containing security auditing guidance and knowledge. No executable code, network calls, filesystem access, or external commands detected. The skill provides expert security knowledge without any security risks.
품질 점수
만들 수 있는 것
마이크로서비스 보안 감사
API 보안, 컨테이너 보안 및 DevSecOps 파이프라인 통합을 포함한 마이크로서비스 아키텍처의 포괄적인 보안 평가 수행
규정 준수 준비 평가
격차 분석, 통제 구현 지침 및 감사 준비 문서를 통해 SOC 2, GDPR 또는 HIPAA 규정 준수 준비
위협 모델링 워크숍
STRIDE 방법론을 사용하여 구조화된 위협 모델링 세션을 진행하고 새로운 애플리케이션 설계에서 보안 위험을 식별 및 우선순위화
이 프롬프트를 사용해 보세요
이 코드 스니펫을 보안 취약점에 대해 검토하십시오. OWASP Top 10 문제를 식별하고 수정 사항을 제안하며 각 발견 사항의 보안 영향을 설명하십시오.
CI/CD 워크플로우를 위한 보안 스캔 파이프라인을 설계하십시오. 구체적인 도구 권장사항 및 통합 단계와 함께 SAST, DAST, 종속성 스캔 및 컨테이너 이미지 스캔을 포함하십시오.
STRIDE 방법론을 사용하여 애플리케이션에 대한 위협 모델링을 수행하십시오. 애플리케이션 아키텍처에는 다음이 포함됩니다: [아키텍처 설명]. 각 위협 범주에 대해 위협을 식별하고 위험 수준을 평가하며 완화 방안을 권장하십시오.
[GDPR/HIPAA/SOC 2/ISO 27001] 요구사항에 대한 격차 분석을 수행하십시오. 현재 통제 수단을 검토하십시오: [통제 수단 설명]. 격차를 식별하고 수정 우선순위를 지정하며 각 요구사항에 대한 구현 지침을 제공하십시오.
모범 사례
- 프로덕션에 도달하기 전 취약점을 파악하기 위해 개발 라이프사이클 초기에 보안 스캔을 통합
- 단일 통제에 의존하지 않고 다중 보안 계층을 통해 심층 방어 원칙 적용
- 배포 전반에 걸쳐 일관된 보안 강제를 보장하기 위해 CI/CD 파이프라인에서 보안 검증을 자동화
피하기
- 서면 승인 및 적절한 보안 장치 없이 프로덕션 환경에서 침습적 보안 테스트 실행
- 전용 secrets 관리 솔루션 대신 환경 변수나 구성 파일에 secrets 저장
- 수동 검토 및 컨텍스트 분석 없이 자동화된 스캔 결과를 완전한 보안 검증으로 간주