用途
SaaS 安全态势管理技能，帮助初创公司对公司依赖的每个 SaaS 工具进行务实、命令驱动的加固。典型使用场景包括：SOC 2 审计准备（审计人员需要 MFA、访问控制和 OAuth 治理的证据）；员工授权了具有广泛权限范围的第三方应用（可疑 OAuth 应用）；团队用公司邮箱注册工具却无人追踪（SaaS 蔓延）；钓鱼或凭证泄露后的入侵后加固。
主要能力
SaaS 清单审计
- Google Workspace：通过
gam all users show tokens导出 OAuth 授权到 CSV。 - GitHub：通过
gh api /orgs/{ORG}/installations查看已安装应用，credential-authorizations查看凭证授权。 - Slack：通过
admin.apps.approved.list查看已批准应用，admin.apps.requests.list查看待批请求。 - AWS：生成并获取 IAM 凭证报告。
- 提供主清单模板（tools YAML），记录工具名、负责人、SSO、MFA 状态等字段。
GitHub 安全加固
- 强制组织级 2FA，查找
2fa_disabled成员。 - 验证 SAML SSO 身份。
- 添加 IP 允许列表条目。
- 对 main 分支设置分支保护（必需状态检查、管理员强制、代码审查数量、代码所有者审查、禁用强推与删除）。
- 审计并撤销过期 PAT。
- 审计部署密钥和 Webhook。
Slack 安全
- 要求应用审批。
- 工作区设为仅邀请。
- 强制每 24 小时重新认证。
- 设置消息保留 1 年。
- 审计 Slack Connect 共享频道。
Google Workspace 加固
- 强制两步验证与强密码（密码长度 14）。
- 阻止全部第三方 OAuth 应用后按白名单放行。
- 关闭外部 Drive 共享、个人转移、组外部成员。
- 检查 SPF、DKIM、DMARC 记录。
- 移动设备管理（高级管理、强制锁屏、强制加密、远程擦除）。
AWS 账户安全
- 根账户锁定：检查 MFA、访问密钥。
- SSO 权限集最小权限。
- 服务控制策略（SCP）：拒绝根账户操作、拒绝离开组织。
- 组织级 CloudTrail（多区域、启用日志文件验证）。
OAuth 应用审查
- 识别高风险授权（Google 危险权限范围、GitHub 写权限）。
- 撤销危险授权（单个应用、全部应用、GitHub 应用、Slack 应用）。
- 权限范围风险分级：CRITICAL（如 Google mail.google.com、admin.directory.user；GitHub admin:org、repo；Slack admin）、HIGH（如 Google drive、GitHub contents:write、Slack channels:read）、LOW（如 Google userinfo.email、GitHub read:org、Slack identity.basic）。
管理员账户保护
- 在 Google Workspace 创建专用管理员账户。
- 为 Admins OU 要求硬件安全密钥。
- AWS MFA 强制策略。
- 为 SSO 故障创建 break-glass 账户（密码物理封存，使用后轮换、重封、记录事件）。
数据丢失防护
- Google Drive 阻止外部共享、禁止查看者下载打印复制。
- GitHub 组织级启用密钥扫描与推送保护，查看告警。
- Slack 限制数据导出仅组织管理员。
- AWS 账户级阻止所有公共 S3 访问。
影子 IT 检测
- 基于 DNS 发现（检测常见未批准域名查询）。
- Google Workspace 登录审计（
gam report login、gam report token）。 - 代理日志分析（提取 top 域名，与已批准清单对比）。
- 自动化告警脚本与 cron 定时任务。
优先级与维护
- 提供 Top 10 优先行动清单（强制 MFA、启用 SSO、审计撤销 OAuth、Slack 应用审批、分支保护、密钥扫描、阻止公共 S3、组织级 CloudTrail、禁用外部 Drive 共享、创建 break-glass 管理员账户）。
- 维护节奏：每周、每月、每季度。
使用方式
该技能以命令行驱动，各类操作通过 gam（Google Workspace）、gh（GitHub）、curl（Slack 管理 API）、aws（AWS）等工具执行。使用时应先完成 SaaS 清单审计，再依据优先级清单逐项加固。脚本示例（如影子 IT 检测脚本）可部署至 /usr/local/bin 并通过 cron 定时执行。
适用场景和限制
适用场景：SOC 2 准备、可疑 OAuth 应用排查、SaaS 蔓延治理、入侵后加固。
限制：需具备各平台管理员权限与相应 CLI 工具，且已在环境中配置对应令牌或凭证；具体收费、价格、平台支持范围等信息暂未提供。