threat-modeling
提供威胁建模方法与安全风险分析的知识型技能，涵盖 STRIDE、PASTA、LINDDUN 框架、攻击树分析、常见攻击模式（OWASP Top 10、CWE）以及 CVSS、DREAD、OWASP 风险评级，并介绍纵深防御、零信任和安全设计原则。
Skill 广场
找到适合任务的 Agent Skill，阅读介绍并复制安装命令。
更新于 10-21 00:11
安全与审计
7,265 个结果
implementing-azure-defender-for-cloud
基于 Azure CLI 启用 Microsoft Defender for Cloud 的云安全态势管理（CSPM）与云工作负载保护（CWPP），覆盖虚拟机、容器、SQL、存储与 Key Vault，并通过 Azure Policy 评估、Log Analytics 采集数据。
cloud-provider-assessment
云服务提供商隐私评估框架技能，围绕 ISO 27018、CSA STAR、SOC 2 Type II 隐私准则与 GDPR 第 28 条，结合责任共担模型，对 IaaS、PaaS、SaaS 供应商的数据驻留、多租户隔离、子处理者管理等隐私风险进行结构化评估与打分。
comparing-pia-methodologies
对比 CNIL PIA、ICO DPIA、NIST 隐私框架与 ISO 29134 四种隐私影响评估方法论，提供基于监管辖区、组织成熟度、处理复杂度与认证目标的方法论选择标准、决策树及跨方法映射。
conducting-linddun-threat-modeling
LINDDUN隐私威胁建模完整指南，覆盖链接、识别、不可否认、检测、数据披露、无感知、不合规七类威胁，提供基于数据流图与威胁树的系统化识别、评估与缓解流程，并附GDPR等法规参考。
consent-withdrawal
面向 GDPR 第 7(3) 条同意撤回机制的实现指南，涵盖“同等便利”要求、撤回入口设计、处理流水线、第三方通知协议与再同意处理，并给出衡量撤回复杂度的指标与合规参考。
gdpr-codes-of-conduct
依据公开资料整理，介绍GDPR第40-41条行业行为准则的开发、起草、提交与监督机构要求，适用于协会等制定控制者或处理者行为准则的场景。
gpc-cookie-integration
GPC（Global Privacy Control）信号与 Cookie 同意平台集成指南，涵盖浏览器 GPC 信号检测、自动退出触发、美国各州法律映射，以及与 OneTrust、Cookiebot 等 CMP 的配置方法。
turkey-kvkk
面向土耳其《个人数据保护法》（KVKK，第6698号法律）的合规技能，覆盖数据控制者义务、处理合法依据、特殊类别数据、VERBIS登记、跨境传输及数据主体权利，并给出与GDPR的对接要点与执法罚则。
hardware-in-the-loop-security-tester
面向硬件在环（HIL）台架的嵌入式与信息物理系统安全评估技能，涵盖台架布置、ECU/ECM 或 PLC 目标、总线接入、电源与复位控制，以及授权范围内的故障注入与证据留存。
ikb42603-cloud-computing-security-essentials
面向 AWS 云安全教学的实验仓库，涵盖 IAM、加密与密钥管理、网络隔离、访问控制以及监控日志与事件检测五个主题，通过 AWS CLI 和 AWS 控制台完成动手练习。
diffing-binary-patches
通过对比补丁前后的二进制文件，定位安全补丁所修复的漏洞。适用于 1-day 分析：把 CVE 公告或补丁公告还原为具体函数、新增检查，并反向推导补丁前可达的触发输入。
exploiting-memory-corruption
针对原生二进制程序的内存破坏漏洞开发可用的利用程序（exploit），把栈/堆溢出、释放后使用（use-after-free）或类型混淆转化为控制流劫持，并在目标实际启用的缓解机制下完成利用链。
bug-bounty
这是一个面向漏洞赏金（Bug Bounty）的综合性编排技能，覆盖从信息收集、狩猎前学习、漏洞挖掘（30 多种漏洞类别）、A→B 漏洞链式利用、AI/LLM 测试（ASI01-ASI10）到验证与报告的完整流程。该技能强调只报告可实际利用、能造成真实危害的漏洞，拒绝理论性发现，并提供大量命令行工具用法、侦察流水线、源码审计模式与思维框架。
subdomain-enumeration
该技能用于在侦察（recon）启动阶段进行子域名枚举，通过证书透明度日志（crt.sh、crt.name）、被动 API 聚合（subfinder）以及 DNS 解析（dnsx）和存活探测（httpx）来发现目标域名的子域名。它可帮助识别暂存环境、内部管理面板、API 网关等较弱的攻击面，并支持子域名接管检查、排列预测、TLD 扩展和实时证书监控。使用前需准备 curl、httpx、dig、jq、dnsx、subfinder 等工具及 DNS 爆破字典，并需获得向第三方被动源披露域名的授权。
vibe-code-auditor
Vibe Code Auditor 是一个代码审计技能，用于评估快速迭代、氛围编程（vibe coding）或 AI 辅助生成的代码。它以资深软件架构师的角色，判断那些“能跑”的代码是否真正健壮、可维护、可上生产环境。审计覆盖七个维度：架构与设计、一致性与可维护性、健壮性与错误处理、生产风险、安全与安全、死代码或幻觉代码、技术债热点。每个发现需记录维度、标题、具体位置（文件与行号）、严重程度、解释和最低限度修复建议。输出按固定结构分为：关键问题（生产前必须修复）、高风险问题、可维护性问题、生产就绪评分（0-100 分及评分理由）和重构优先级（按影响排序的前 3-5 项，含工作量估计 S/M/L）。行为规则要求每个发现都必须基于实际提供的代码，不得臆测未见代码，不得因风格偏好而报问题，不轻易建议架构重写，无法确认的安全问题标注为“未确认—需核实”。使用前需向用户索取代码或文件、系统背景（可选）、目标环境（可选）。未提供的信息（如具体收费、价格、平台支持范围）暂未提供。
security-automation
安全自动化技能，介绍漏洞扫描、安全测试、事件响应与合规检查的自动化方法，并给出 Nessus、OpenVAS、OWASP ZAP、Burp Suite、Splunk、ELK 及 CI/CD 集成示例。
security
Security 是 claude-hub 中的安全编码技能标准，为处理用户数据、认证和外部输入的代码提供 OWASP 合规要求，涵盖输入校验、认证授权、数据保护、API 安全、密钥管理与日志监控等规范。
lucia-auth
Lucia Auth 技能：依据 Lucia Auth 与 The Copenhagen Book 的模式，为 Web 应用实现生产级认证，涵盖服务端会话、Cookie 安全、CSRF、限流、邮箱验证、密码重置、重认证及可选 OAuth、TOTP、WebAuthn。
grad-disruptive-innovation
基于克里斯坦森颠覆式创新理论的技能，用于评估低端与新市场威胁。可绘制性能轨迹、识别切入点、判断颠覆潜力并给出应对建议，适用于分析新进入者是否构成颠覆性威胁。
turtle-harden
turtle-harden 是一个偏安全加固的技能：以“乌龟壳”隐喻强调多层纵深防御，用于新建代码的 secure-by-design 加固或既有代码的安全审计，覆盖攻击面梳理、基础防御、深度加固、对抗测试与最终验证报告五个阶段。
security specialist
应用安全专家技能，聚焦认证授权、数据保护与合规审计，适用于设计安全登录认证、安全代码审查、GDPR/隐私合规检查及防范 OWASP Top 10 常见漏洞。
ai-inventory
用于为已存在或即将部署的AI系统建立清单：逐系统判定是AI服务提供者还是使用者，分配风险等级，并映射中国AI法规下的义务。适合年度AI审计或法规变化后重新分类。
pia-generation
该技能用于生成符合内部格式的个人信息保护影响评估（PIA），适用于新功能、产品或个人信息处理活动。它从种子 PIA 学习团队的结构与深度，先判断是否确实需要 PIA（结合内部触发标准与适用制度的法定评估触发条件），再向产品团队录入处理活动信息，按内部格式撰写评估，包含合法性基础、数据流转、个人信息处理规则一致性检查、风险与缓解措施、个人信息主体权利等内容，并输出附条件清单、指定负责人并路由审批。当用户提出"写一份PIA""个人信息保护影响评估""我们需要为这个做PIA吗""对这个功能做隐私审查"或描述一项新的个人信息处理活动时使用。