应用安全审计

要解决的问题

很多团队的安全审查还停留在「每年跑一次扫描器」的节奏：自动化工具给出一份漏洞列表，但缺少上下文、缺少严重性分级，也没有与合规框架对齐，最后 findings 沉在工单系统里无人认领。更常见的情况是，自动化扫描覆盖不到的业务逻辑缺陷、授权绕过和配置错误，恰好是真实攻击者最先利用的入口。

security-audit 针对的就是这种断裂：把自动化扫描与人工代码审查组合成一条完整流水线，输出可执行、可排优先级、可对齐合规条款的审计报告。

核心能力

• 全链路审计范围：覆盖 Web 应用、API、云基础设施、容器与后端服务，检查认证机制、授权控制、输入校验、加密实践、日志配置和部署设置。
• 自动化与人工结合：使用 OWASP ZAP、Trivy、Grype、Prowler、ScoutSuite、Checkov 等扫描工具获取原始结果，再由 agent 人工审查认证流程、会话管理、RBAC、加密实现、硬编码密钥、不安全反序列化等自动化工具容易漏掉的问题。
• 统一分级语言：每条 finding 都带 CVSS 严重性（Critical / High / Medium / Low / Informational）、CWE 编号，并映射到 OWASP Top 10 分类，方便跨审计周期对比。
• 合规映射：发现项可对齐 SOC 2 Type II、PCI-DSS、HIPAA、NIST 800-53 等框架的控制项，直接给出 pass/fail 差距分析。

工作流程

1. 收集系统信息——整理技术栈、架构图、网络拓扑、部署模型和第三方集成，读取配置文件、环境变量与 IaC 模板，画出完整攻击面。
2. 划定审计范围与合规目标——明确纳入审计的组件、环境和数据流，按目标框架生成 checklist。
3. 自动化漏洞扫描——针对目标运行扫描器，聚合原始结果等待人工复核。
4. 人工安全审查——检查认证流、会话管理、RBAC、输入清洗、加密实现、错误处理和日志，排查硬编码密钥、不安全反序列化和业务逻辑缺陷。
5. 分析与定级——用 CVSS 评分评估严重性，分配 CWE 编号，结合可利用性、爆炸半径和业务影响给出优先级排序。
6. 生成报告与整改方案——输出结构化报告：执行摘要、带证据和复现步骤的详细发现、风险评级、具体修复建议与预估工作量，以及合规差距分析。

适用边界与注意点

• 扫描器不是全部：自动化工具擅长抓已知漏洞模式，业务逻辑缺陷、授权绕过和链式攻击场景必须靠人工审查补足。
• 微服务安全姿态不一致：某个服务强制认证，另一个内部服务信任所有流量的情况很常见，需审计服务间通信，确认内网同样遵循零信任。
• Serverless 与事件驱动架构：Lambda、Step Functions 的执行上下文短暂，需要重点审计 IAM 执行角色、事件源权限，确认敏感数据没有明文写入 CloudWatch。
• 多租户应用：需验证租户隔离在数据层、API 层和基础设施层都生效，并测试租户间的横向越权。
• WAF / CDN 之后的应用：扫描器可能只看到被过滤的表面，条件允许时应直接测试源站，找出被 WAF 掩盖而非修复的问题。
• 遗留系统无源码：只能用黑盒测试、流量分析和配置审查，报告中必须明确标注覆盖度下降。
• 整改需要复测：修复上线后应重跑相关检查，确认漏洞已解决且没有引入回归。