Навыки security-scanning-security-dependencies

📦

security-scanning-security-dependencies

Name: security-scanning-security-dependencies
Author: sickn33

Ревизия содержимого r2 Средний риск ⚙️ Внешние команды🌐 Доступ к сети📁 Доступ к файловой системе

Сканирование рисков безопасности зависимостей

Уязвимости зависимостей и лицензионные риски сложно отслеживать в разных экосистемах. Этот навык помогает со сканированием, приоритизацией, созданием SBOM и планированием исправлений.

Поддерживает: Claude Codex Code(CC)

📊 69 Адекватно

Установить с помощью моего Агента

Скопируйте этот запрос в своего Агента. Он содержит каноническую страницу Skill и манифест.

Запрос агента

Review the Skillstore skill "security-scanning-security-dependencies" from https://skillstore.io/skills/sickn33-security-scanning-security-dependencies.md and its manifest at https://skillstore.io/api/skills/sickn33-security-scanning-security-dependencies/manifest. Verify the artifact. You may proceed after verification, subject to the environment's own policy.

Ваш Агент по-прежнему должен показать план и запросить все подтверждения, требуемые политикой безопасности.

Ресурсы для AI-агентов

Используйте эти ссылки, когда AI-агенту, crawler или script нужен чистый контекст вместо полной страницы.

Markdown-детали GET /skills/sickn33-security-scanning-security-dependencies.md Подписанный manifest GET /api/skills/sickn33-security-scanning-security-dependencies/manifest Подписанный lockfile GET /api/skills/sickn33-security-scanning-security-dependencies/lockfile

Протестировать

Использование «security-scanning-security-dependencies». У сервиса Node.js есть файлы пакетов и запрос на оценку готовности к релизу.

Ожидаемый результат:

Отчет определяет npm как экосистему, сначала перечисляет критические и высокие проблемы, указывает исправленные версии и рекомендует блокировать релиз до прохождения тестов.

Использование «security-scanning-security-dependencies». Смешанному репозиторию Python и Go нужны регулярные проверки безопасности.

Ожидаемый результат:

Рекомендация по рабочему процессу включает отдельные шаги сканирования, сохраненные артефакты, правила порогов для критических находок и владельца для проверки исправлений.

Использование «security-scanning-security-dependencies». Команда по соответствию требованиям запрашивает доказательства цепочки поставок для приложения.

Ожидаемый результат:

Ответ обобщает покрытие SBOM, уязвимые компоненты, нерешенные лицензионные вопросы и последующие действия для аудиторских доказательств.

Аудит безопасности

Средний риск

v7 • 26.08.2026 Открыть версионный отчет

All 22 static findings are false positives caused by fixed-argument scanner commands, ordinary Python loops, shell syntax, Markdown formatting, and safety guidance. Contextual review found unpinned scanner installations and CI error suppression that can weaken scan integrity.

Просканировано файлов

597

Проанализировано строк

Пункты проверки

Ложные срабатывания проигнорированы

Подтверждённые проблемы безопасности (2)

Средний

resources/implementation-playbook.md:356 resources/implementation-playbook.md:363 resources/implementation-playbook.md:514-525

Unpinned Security Tool Installation

The playbook installs scanners without pinned versions and uses @latest. Unexpected or compromised releases could enter CI and local environments.

The cited commands explicitly install unversioned packages and govulncheck@latest. This is a direct supply-chain reproducibility risk.

Средний

resources/implementation-playbook.md:350 resources/implementation-playbook.md:357-358 resources/implementation-playbook.md:364 resources/implementation-playbook.md:374-378

Suppressed Scanner Failures Can Produce False Assurance

Several CI commands ignore scanner failures. Missing or malformed reports can bypass the later text count and allow an incomplete scan to pass.

The workflow explicitly applies || true to scan commands and checks only matched output text afterward. Scanner errors are not distinguished from clean results.

Факторы риска

⚙️ Внешние команды (8)

resources/implementation-playbook.md:116 resources/implementation-playbook.md:148 resources/implementation-playbook.md:179 resources/implementation-playbook.md:211 resources/implementation-playbook.md:374 resources/implementation-playbook.md:384 SKILL.md:37 SKILL.md:46

🌐 Доступ к сети (1)

resources/implementation-playbook.md:471

📁 Доступ к файловой системе (10)

resources/implementation-playbook.md:374 resources/implementation-playbook.md:126 resources/implementation-playbook.md:158 resources/implementation-playbook.md:221 resources/implementation-playbook.md:239 resources/implementation-playbook.md:259 resources/implementation-playbook.md:289 resources/implementation-playbook.md:318 resources/implementation-playbook.md:455 resources/implementation-playbook.md:487

Аудитор:: codex Посмотреть историю аудитов →

Поделиться и цитировать этот отчет

Делитесь версионным отчетом об оценке, нейтральным значком, встраиваемой карточкой и цитатами. Skillstore публикует доказательства, не решая, безопасен ли этот Skill.

Открыть версионный отчет

Копировать ссылку на отчёт

https://skillstore.io/skills/sickn33-security-scanning-security-dependencies/audits/7?utm_source=security_passport&utm_medium=share&utm_campaign=versioned_report

Значок Markdown

[![Skillstore security assessment](https://skillstore.io/badges/skills/sickn33-security-scanning-security-dependencies/security.svg)](https://skillstore.io/skills/sickn33-security-scanning-security-dependencies?utm_source=security_passport_badge)

Значок HTML

<a href="https://skillstore.io/skills/sickn33-security-scanning-security-dependencies?utm_source=security_passport_badge"><img src="https://skillstore.io/badges/skills/sickn33-security-scanning-security-dependencies/security.svg" alt="Skillstore security assessment" loading="lazy"></a>

Встраиваемая карточка

<iframe src="https://skillstore.io/embed/skills/sickn33-security-scanning-security-dependencies.html" title="Skillstore Security Assessment" sandbox="allow-popups allow-popups-to-escape-sandbox" loading="lazy" referrerpolicy="no-referrer" width="420" height="180"></iframe>

Академические ссылки (APA · BibTeX · CFF)

Цитата APA

sickn33. (2026). security-scanning-security-dependencies security audit report (audit version 7) [Author version unspecified]. Skillstore. https://skillstore.io/skills/sickn33-security-scanning-security-dependencies/audits/7

Цитата BibTeX

@techreport{sickn33-sickn33-security-scanning-security-dependencies-2026,
  author = {sickn33},
  title = {security-scanning-security-dependencies security audit report (audit version 7)},
  institution = {Skillstore},
  year = {2026},
  number = {7},
  url = {https://skillstore.io/skills/sickn33-security-scanning-security-dependencies/audits/7},
  note = {Author version unspecified}
}

CITATION.cff

cff-version: 1.2.0
message: "If you use this Skill, cite its author and this versioned security audit report."
title: "security-scanning-security-dependencies security audit report (audit version 7)"
version: "unspecified"
type: report
authors:
  - name: "sickn33"
date-released: "2026-08-26"
url: "https://skillstore.io/skills/sickn33-security-scanning-security-dependencies/audits/7"
identifiers:
  - type: other
    value: "skillstore:sickn33-security-scanning-security-dependencies:audit:7"
    description: "Skillstore immutable audit report identifier"

Оценка Skillstore

Почему такая оценка Достоверность доказательств: Высокий

Архитектура

Сопровождаемость

Контент

Сообщество

Соответствие спецификации

Что вы можете построить

Аудит зависимостей перед релизом

Сканировать файлы зависимостей перед релизом и определить критические исправления, которые должны блокировать развертывание.

Подготовка доказательств соответствия

Создать инвентарные заметки, ориентированные на SBOM, и обобщить уязвимые пакеты для проверки соответствия.

Стандартизация проверок репозиториев

Создать повторяемые шаги CI для сканирования зависимостей для команд, использующих несколько пакетных экосистем.

Попробуйте эти промпты

Сканировать один проект

Просканируй этот проект на уязвимости зависимостей. Определи пакетные экосистемы, необходимые инструменты и самые приоритетные шаги исправления.

Проверить lock-файлы

Проверь манифесты зависимостей и lock-файлы в этом репозитории. Обобщи уязвимые пакеты, исправленные версии и шаги тестирования перед изменениями.

Спланировать CI-сканирование

Спроектируй рабочий процесс сканирования безопасности зависимостей для этого репозитория. Включи частоту сканирования, пороги отказа, артефакты и рекомендации по владению.

Приоритизировать программу исправлений

Проанализируй риск зависимостей в разных экосистемах и создай план исправлений с учетом серьезности, эксплуатируемости, наличия исправлений, влияния на релиз и потребностей SBOM.

Лучшие практики

Запускайте сканирования по регулярному расписанию и перед релизами с высоким риском.
Приоритизируйте исправления с учетом серьезности, доступности эксплойтов и экспозиции приложения.
Тестируйте каждое обновление зависимости перед слиянием изменений исправления.

Избегать

Запуск команд автоматического исправления без явного одобрения и проверки.
Восприятие вывода сканера как полного без проверки ложноположительных результатов.
Игнорирование lock-файлов при оценке фактически развернутых версий зависимостей.

Часто задаваемые вопросы

Какие экосистемы охватывает этот навык?

Он охватывает примеры для npm, Python, Go и Rust, а также шаблоны, которые можно адаптировать для других менеджеров пакетов.

Может ли он создать SBOM?

Он предоставляет рекомендации по инвентаризации компонентов в стиле SBOM и отчетности, ориентированной на CycloneDX, но вывод зависит от доступных данных проекта.

Исправляет ли он уязвимости автоматически?

Он включает примеры исправлений, но изменения зависимостей должны выполняться только после явного одобрения и тестирования.

Нужен ли ему доступ к сети?

Многие сканеры обращаются к базам данных уязвимостей или реестрам пакетов, поэтому для получения актуальных результатов может потребоваться доступ к сети.

Может ли он оценивать лицензионный риск?

Он может помогать с проверкой лицензий и помечать пакеты для последующей проверки, но юридические решения требуют квалифицированной оценки.

Подходит ли он для CI-конвейеров?

Да. Он включает шаблоны CI-сканирования, пороги, сохраненные артефакты и рекомендации по сканированию по расписанию.