Agent Skills
返回列表
🔒

漏洞扫描与安全优先级

IT 运维与安全 更新于 2026.08.30

将以下提示词粘贴到你的 AI 对话框中：

请根据 https://skillhub.cn/install/skillhub.md，将 @org-02qudk26/vulnerability-scanner-zh 安装到我的 AI 助手中。

技能介绍

解决什么问题

漏洞扫描工具往往给出大量 CVE 和告警，但安全团队真正需要的是判断哪些风险会影响业务、攻击者会如何利用、哪些修复应该优先。该技能面向 IT 运维与安全场景，把扫描从“找漏洞”转为“风险决策”，覆盖 OWASP Top 10:2025、供应链安全、云 IAM、日志告警和异常处理等检查维度。

技能如何工作

技能围绕“假设已入侵、零信任、纵深防御、最小权限、安全失败”等原则组织检查：

  • 威胁建模：先确认资产、威胁行为者、攻击向量和业务影响。
  • 攻击面映射：梳理 API、表单、文件上传、数据流、信任边界和敏感数据。
  • 代码模式识别：定位字符串拼接、动态执行、不安全反序列化、路径遍历、verify=False 等高风险写法，以及 API 密钥、令牌、云凭据等敏感信息。
  • 优先级排序：结合 CVSS、EPSS、资产价值和暴露程度，而不是只按 CVE 严重性告警。
  • 报告输出：按“什么、在哪里、为什么、影响、如何修复”结构化描述发现项。

其参考资料包含 checklists.md，并可通过 scripts/security_scan.py 验证安全原则是否已应用。

适用边界

该技能更适合代码评审、安全审计、上线前检查和持续安全运营中的方法参考，不等同于完整的 SAST、DAST、依赖漏洞扫描或渗透测试。涉及生产系统扫描时，应控制访问权限、保护凭据，并依据实际业务风险调整检查基线。

使用场景

  • 上线前对 Web API 做安全检查，按 OWASP Top 10 2025 梳理访问控制、注入和身份认证缺陷。
  • 审计 CI/CD 与依赖管理流程，检查锁文件、私有注册表、制品签名和更新审计，降低供应链风险。
  • 排查代码中的 SQL 拼接、动态执行、不安全反序列化、路径遍历等高风险模式，并输出修复建议。
  • 对云环境做安全检查，核对 IAM 最小权限、公开存储桶、安全组和密钥管理器使用。

适合人员

  • 负责 Web 后端上线评审的后端工程师，需要按 OWASP 和攻击面映射排查访问控制、注入和身份认证风险。
  • 负责 CI/CD 安全审计的 DevOps 工程师，需要检查依赖、锁文件、构建管道和制品签名等供应链风险。
  • 负责云资源安全的 SRE，需要核对 IAM 最小权限、公开存储桶、安全组和密钥管理器等配置。
  • 负责安全报告输出的安全工程师，需要按发现项结构描述漏洞位置、根因、业务影响和修复方案。