用途
该技能使智能体能够对 Web 应用、API、云基础设施和后端服务开展一次全面、经授权的安全审计。智能体会系统性地检查认证机制、授权控制、输入校验、加密实践、日志配置和部署设置，并将发现映射到 OWASP Top 10、CWE 标识以及 SOC 2、PCI-DSS 等合规标准。
主要能力
- 收集目标环境信息：技术栈、架构图、网络拓扑、部署模型和第三方集成，并审查配置文件、环境变量和基础设施即代码模板，以构建完整的攻击面视图。
- 界定审计范围与合规目标：确定纳入审计的组件、环境和数据流，将审计目标映射到 SOC 2 Type II、PCI-DSS、HIPAA 或内部安全策略，并基于 OWASP Top 10 和 CWE/SANS Top 25 建立检查清单。
- 执行自动化漏洞扫描：使用 OWASP ZAP 扫描 Web 应用，Trivy 或 Grype 扫描容器镜像，ScoutSuite 或 Prowler 扫描云基础设施，汇总原始发现供人工复核。
- 开展人工安全审查：检查认证流程、会话管理、基于角色的访问控制、输入净化、加密实现、错误处理和日志实践，并审查源代码中的硬编码密钥、不安全反序列化和业务逻辑缺陷。
- 分析与分类发现：使用 CVSS 评分评估严重性（Critical、High、Medium、Low、Informational），分配 CWE 标识并映射到 OWASP Top 10 类别，评估可利用性、影响范围和业务影响，生成优先级风险排序。
- 生成含修复计划的审计报告：输出包含执行摘要、带证据和复现步骤的详细发现、风险评级、具体修复建议及预估工作量的结构化报告，并附合规差距分析。
使用方式
向智能体提供应用源代码、基础设施配置或目标 URL 以及期望的合规范围，智能体将执行完整审计工作流并交付按优先级排序的发现报告。
提示词示例：
Perform a security audit of the Node.js Express application in /app. Focus on OWASP Top 10 coverage and SOC 2 compliance. Include CWE IDs and remediation steps for every finding.
支持的技术
- Web 框架：Express.js、Django、Flask、Spring Boot、Rails、ASP.NET
- 云平台：AWS（IAM、S3、EC2、RDS、Lambda）、GCP、Azure
- 容器与编排：Docker、Kubernetes、ECS
- 扫描工具：OWASP ZAP、Prowler、ScoutSuite、Trivy、Grype、Checkov
- 合规框架：OWASP Top 10、CWE/SANS Top 25、SOC 2、PCI-DSS、HIPAA、NIST 800-53
适用场景
- 对 Node.js Express 等 Web 应用进行 OWASP Top 10 覆盖审计，例如发现 SQL 注入、JWT 密钥明文存储、缺少速率限制等问题并给出参数化查询等修复代码。
- 对 AWS 生产账户进行合规审计，例如使用 Prowler 扫描 SOC 2 与 PCI-DSS 合规项，发现 S3 公开读、IAM 过度权限、RDS 未加密等问题并给出最小权限策略。
- 微服务、遗留系统、无服务器架构、多租户应用以及位于 WAF/CDN 之后的应用等边界场景的审计。
最佳实践
- 定期审计：至少每季度一次，并在每次重大发布或基础设施变更后进行。
- 结合自动化与人工测试：自动化扫描器捕获已知漏洞模式，人工审查对业务逻辑缺陷、授权绕过和链式攻击场景至关重要。
- 一致使用 CWE 与 CVSS：为每个发现分配 CWE 标识和 CVSS 评分，便于跨审计比较严重性并跟踪修复趋势。
- 通过复测验证修复：修复部署后重新运行相关审计检查，确认漏洞已解决且未引入回归。
- 维护审计轨迹：将所有审计报告、证据和修复记录存储在集中仓库中，以支持合规审查和事件调查。
- 审计范围应包含第三方集成：支付网关、OAuth 提供商和 SaaS API 引入的风险容易被忽视。
限制与安全边界
- 仅对用户拥有或明确授权评估的系统进行操作，并在测试前记录已批准的范围。
- 从被动或只读检查开始。在主动扫描、漏洞利用、负载生成或破坏性修复之前，须获得明确批准。
- 绝不暴露密钥、提取无关数据、削弱生产控制或超出批准目标。
- 保留证据、最小化影响、在出现不稳定时停止，并为每项重大变更提供回滚或遏制步骤。
- 对于无源代码的遗留系统，只能依赖黑盒测试、流量分析和配置审查，并在报告中明确说明覆盖范围缩减。