纵深防御安全加固编排

要解决什么问题

很多团队把「跑一遍扫描」当成安全加固的终点：SAST/DAST 报告堆在工单里，修复没有和架构、密钥、合规对齐，生产变更也缺少回滚与授权边界。本技能面向需要协调落地的加固项目——在应用、基础设施与 CI/CD 上建立防御纵深，而不是单次快速扫描。

工作流如何展开

技能通过 Task 子智能体编排，把加固拆成四个阶段，前一阶段的输出作为后一阶段输入：

1. 阶段 1：全面安全评估 — security-auditor 做 SAST（Semgrep/SonarQube）、DAST（OWASP ZAP）、依赖审计（Snyk/Trivy）、密钥检测（GitLeaks/TruffleHog）并生成 SBOM；STRIDE 威胁建模与 MITRE ATT&CK 映射；backend-architect 做架构与零信任相关审查。
2. 阶段 2：漏洞修复 — 优先处理 CVSS 7+；分别由后端、前端、移动安全编码智能体落实参数化查询、CSP/XSS 防护、证书固定等修复与预防性控制。
3. 阶段 3：安全控制实施 — 认证授权（OAuth2/OIDC、MFA、RBAC/ABAC）、基础设施层（WAF、分段、IDS/IPS）、企业级密钥管理（Vault/Secrets Manager、轮换、去硬编码）。
4. 阶段 4：验证与合规 — 渗透测试验证控制有效性；对照 OWASP ASVS、CIS、SOC2、GDPR 等框架做差距分析；集成 SIEM 与事件响应剧本。

可配置项包括 scanning_depth、compliance_frameworks、remediation_priority（如按 CVSS、可利用性或业务影响排序）等。

适用边界与注意点

• 不适用：仅需快速扫描、无安全测试/变更授权，或环境无法承受侵入性控制。
• 安全约束：未经批准不要在生产做侵入性测试；加固前必须有回滚方案。
• 成功标准在文档中写得很具体：严重漏洞修复、OWASP Top 10 处理、渗透零高风险、密钥进 Vault、MFA 与 CI/CD 安全测试集成等——适合作为项目验收清单，而非单次对话能全部完成的轻量任务。