Security Auditor
Проведение экспертных аудитов безопасности и оценок соответствия требованиям
Организации сталкиваются с трудностями при интеграции безопасности в процессы разработки и выполнении требований соответствия. Этот навык предоставляет комплексную экспертизу в области аудита безопасности, включая интеграцию DevSecOps, оценку уязвимостей и руководство по регуляторному соответствию.
Скачать ZIP навыка
Загрузить в Claude
Перейдите в Settings → Capabilities → Skills → Upload skill
Включите и начните использовать
Протестировать
Использование «Security Auditor». Security audit request for REST API with JWT authentication
Ожидаемый результат:
- Резюме оценки безопасности
- Критично: JWT-токены хранятся в localStorage - уязвимо для XSS. Рекомендация: использовать httpOnly cookies с SameSite=Strict
- Высокий приоритет: Отсутствует ограничение частоты запросов на конечных точках аутентификации - возможна атака перебором. Рекомендация: внедрить ограничение частоты с экспоненциальной задержкой
- Средний приоритет: Отсутствует валидация входных данных при регистрации пользователя - потенциальная инъекция. Рекомендация: добавить валидацию схемы и санитизацию
- Низкий приоритет: Отсутствуют заголовки безопасности. Рекомендация: добавить CSP, HSTS, X-Frame-Options заголовки
Использование «Security Auditor». DevSecOps pipeline design for Node.js application
Ожидаемый результат:
- Дизайн конвейера безопасности CI/CD
- Pre-commit: Husky hooks с eslint-plugin-security
- Этап сборки: npm audit, сканирование зависимостей Snyk, SAST SonarQube
- Этап тестирования: DAST-сканирование OWASP ZAP, сканирование образов контейнеров с Trivy
- Этап развёртывания: валидация политик OPA, контроллеры допуска Kubernetes
- После развёртывания: непрерывный мониторинг с runtime-безопасностью Falco
Аудит безопасности
БезопасноThis is a prompt-only skill containing security auditing guidance and knowledge. No executable code, network calls, filesystem access, or external commands detected. The skill provides expert security knowledge without any security risks.
Оценка качества
Что вы можете построить
Аудит безопасности для микросервисов
Проведение комплексной оценки безопасности архитектуры микросервисов, включая безопасность API, безопасность контейнеров и интеграцию конвейера DevSecOps.
Оценка готовности к соответствию требованиям
Подготовка к соответствию требованиям SOC 2, GDPR или HIPAA с анализом разрывов, руководством по внедрению контроля и документацией для подготовки к аудиту.
Семинар по моделированию угроз
Проведение структурированных сессий моделирования угроз с использованием методологии STRIDE для выявления и приоритизации рисков безопасности в новых дизайнах приложений.
Попробуйте эти промпты
Review this code snippet for security vulnerabilities. Identify any OWASP Top 10 issues, suggest fixes, and explain the security impact of each finding.
Design a security scanning pipeline for our CI/CD workflow. Include SAST, DAST, dependency scanning, and container image scanning with specific tool recommendations and integration steps.
Perform threat modeling for our application using STRIDE methodology. The application architecture includes: [describe architecture]. Identify threats, assess risk levels, and recommend mitigations for each threat category.
Conduct a gap analysis against [GDPR/HIPAA/SOC 2/ISO 27001] requirements. Review our current controls: [describe controls]. Identify gaps, prioritize remediation efforts, and provide implementation guidance for each requirement.
Лучшие практики
- Интегрируйте сканирование безопасности на ранних этапах жизненного цикла разработки для выявления уязвимостей до их попадания в production
- Применяйте принципы многоуровневой защиты с несколькими слоями безопасности вместо reliance на единичные контроли
- Автоматизируйте валидацию безопасности в конвейерах CI/CD для обеспечения согласованного применения безопасности во всех развёртываниях
Избегать
- Выполнение интрузивных тестов безопасности в production-средах без письменного разрешения и надлежащих мер защиты
- Хранение секретов в переменных окружения или конфигурационных файлах вместо использования специализированных решений управления секретами
- Рассмотрение результатов автоматизированного сканирования как полной валидации безопасности без ручного просмотра и анализа контекста