安全审计

现代应用通常结合了微服务、云原生组件和复杂的第三方集成，这种架构的复杂性导致传统的安全测试很容易出现盲区。代码层面的逻辑缺陷、云基础设施的错误配置，甚至是多租户环境的数据隔离失效，都可能成为攻击者利用的突破口。而单一的自动化扫描往往无法覆盖业务逻辑漏洞，合规审计也需要大量的人工对照工作。为了解决这些问题，安全审计 技能提供了一套系统化的审查流程，将自动化扫描与深度的代码及配置审查结合起来。

工作机制与核心步骤

该技能的工作流分为六个关键阶段，能够从资产盘点到报告交付形成完整的闭环：

• 收集与定义范围：通过审查代码库、基础设施即代码（IaC）模板及架构图，构建完整的攻击面视图，并建立基于 OWASP Top 10 或 CWE/SANS Top 25 的检查清单。
• 自动化扫描：集成多款行业工具，如使用 OWASP ZAP 对 Web 应用进行动态扫描，利用 Trivy 或 Grype 检查容器镜像漏洞，并通过 Prowler 或 ScoutSuite 审计 AWS、GCP 等云环境配置。
• 手动深度审查：针对自动化工具难以触及的领域，如 JWT 认证流程、基于角色的访问控制（RBAC）、硬编码密钥及不安全反序列化，进行源码级别的逻辑审查。
• 分析与报告生成：对发现的风险使用 CVSS 进行评级，分配对应的 CWE 标识符，最终输出包含证据链、复现步骤、合规差距分析及具体缓解计划的结构化报告。

适用边界与最佳实践

该技能适用于主流的 Web 框架（如 Express.js、Spring Boot）、云平台（AWS、GCP、Azure）以及容器编排环境（Docker、Kubernetes）。但在实际应用中需要注意以下边界情况：

• 遗留系统与黑盒测试：当无法获取源代码时，审计覆盖范围会受限，需结合流量分析和配置审查，并在报告中明确记录盲区。
• 架构特殊性：对于无服务器架构（如 Lambda），需重点检查 IAM 执行角色和事件源权限；对于微服务，需验证内部通信是否真正落实了零信任原则。
• 中间件盲区：位于 WAF 或 CDN 后面的应用，自动化扫描可能被过滤，需要尽可能直连源站进行探测。

此外，安全审计不是一次性的合规任务，建议在每次重大发布或基础设施变更后触发，并在修复部署后通过重新测试来验证漏洞是否真正消除。