security-scanning-security-hardening

用途

本技能用于协调多层安全扫描与加固，覆盖应用、基础设施和合规控制，通过多智能体编排实现纵深防御的安全策略。适用于以下场景：

以下情况不应使用本技能：

技能按四个阶段展开，每个阶段的发现会为后续阶段提供依据。

初始漏洞扫描：协调 security-auditor 子代理，使用 Semgrep/SonarQube 执行 SAST 分析、使用 OWASP ZAP 执行 DAST 扫描、使用 Snyk/Trivy 进行依赖审计、使用 GitLeaks/TruffleHog 进行密钥检测，并生成 SBOM 用于供应链分析。输出包括带 CVSS 评分的详细漏洞报告、可利用性分析、攻击面映射、密钥暴露报告和 SBOM 清单。
威胁建模与风险分析：采用 STRIDE 方法论进行威胁建模，分析攻击向量、创建攻击树、评估业务影响，并将威胁映射到 MITRE ATT&CK 框架，基于可能性与影响排定风险优先级。输出包括威胁模型图、风险矩阵、攻击场景文档和业务影响分析。
架构安全评审：协调 backend-api-security::backend-architect 子代理，评估服务边界、数据流安全、认证/授权架构、加密实现和网络分段，设计零信任架构模式。输出包括安全架构评估、零信任设计建议、服务网格安全要求和数据分类矩阵。

关键漏洞修复：协调修复 CVSS 7+ 的关键漏洞，包括使用参数化查询修复 SQL 注入、使用输出编码修复 XSS、使用安全会话管理修复认证绕过、使用输入验证修复不安全反序列化，并应用 CVE 安全补丁。
后端安全加固：使用 OWASP ESAPI 添加输入验证，实现速率限制与 DDoS 防护，通过 OAuth2/JWT 校验保护 API 端点，使用 AES-256/TLS 1.3 为静态与传输数据加密，并实现不暴露 PII 的安全日志。
前端安全实现：配置基于 nonce 的 CSP 策略，使用 DOMPurify 防止 XSS，通过 PKCE OAuth2 保护认证流程，为外部资源添加 SRI，实现带 SameSite/HttpOnly/Secure 标志的安全 Cookie 处理。
移动安全加固：添加证书固定、实现生物识别认证、加密本地存储、使用 ProGuard/R8 混淆代码、实现防篡改与 root/越狱检测、保护 IPC 通信。

认证与授权增强：部署带 PKCE 的 OAuth2/OIDC，实现 TOTP/WebAuthn/FIDO2 多因素认证，添加基于风险的认证，按最小权限原则实现 RBAC/ABAC，并通过安全令牌轮换进行会话管理。
基础设施安全控制：配置 WAF 规则以防御 OWASP 威胁，实施微服务网络分段，部署 IDS/IPS 系统，配置云安全组与 NACL，通过速率限制和地理封锁实现 DDoS 防护。
密钥管理实施：部署 HashiCorp Vault 或 AWS Secrets Manager，实施密钥轮换策略，移除硬编码密钥，配置最小权限 IAM 角色，并实现支持 HSM 的加密密钥管理。

渗透测试与验证：执行经过认证与未认证的测试、API 安全测试、业务逻辑测试和权限提升尝试，使用 Burp Suite、Metasploit 及自定义漏洞利用，验证所有安全控制的有效性。
合规与标准核验：对照 OWASP ASVS Level 2、CIS Benchmarks、SOC2 Type II 要求以及 GDPR/CCPA 隐私控制进行验证，如适用还包括 HIPAA/PCI-DSS，并生成合规证明报告。
安全监控与 SIEM 集成：部署 Splunk/ELK/Sentinel 集成，配置安全事件关联，实现用于异常检测的行为分析，设置自动化事件响应剧本，并创建安全仪表盘与告警。

技能以指令形式执行：先执行第一阶段建立安全基线，然后应用第二阶段修复高风险问题，接着实施第三阶段控制并验证防御，最后完成第四阶段验证与合规检查。

安全注意事项：未经批准避免在生产环境进行侵入式测试；加固变更前确保存在回滚计划。

配置选项包括：

适合需要端到端安全加固的团队，包括修复关键漏洞、建立零信任架构、实施认证授权与密钥管理、验证合规性以及建立持续安全监控。