Senior Security

Senior Security Engineer 综合评估

核心用法

本 Skill 提供系统化的安全工程方法论，涵盖五大核心工作流：

威胁建模工作流：基于 STRIDE 方法论（Spoofing、Tampering、Repudiation、Information Disclosure、Denial of Service、Elevation of Privilege），结合 DREAD 风险评分体系，指导用户从数据流图（DFD）创建到威胁识别、优先级排序及缓解措施制定的完整流程。

安全架构设计工作流：采用纵深防御（Defense-in-Depth）五层架构（边界、网络、主机、应用、数据），融入零信任原则（显式验证、最小权限、假设 breach），覆盖身份认证模式选择、加密策略设计及安全监控规划。

漏洞评估工作流：整合自动化扫描（SAST/DAST/依赖扫描/密钥检测）与手动测试，映射 OWASP Top 10 漏洞分类，提供基于影响与可利用性的严重度矩阵。

安全代码审查工作流：提供结构化审查清单，覆盖输入验证、认证授权、数据加密等关键领域，并对比安全与不安全编码模式。

事件响应工作流：定义 P1-P4 分级响应机制，包含识别、遏制、根除、恢复、复盘五阶段标准操作程序。

显著优点

1. 方法论权威性：STRIDE、DREAD、OWASP 均为业界公认标准，NIST CSF、CIS Benchmarks 等合规框架完整覆盖
2. 工具链完整：集成 Semgrep、CodeQL、Trivy、GitLeaks 等 20+ 主流安全工具，支持 CI/CD 集成
3. 实操性强：提供可执行脚本（threat_modeler.py、secret_scanner.py）及详细命令行用法
4. 加密指引明确：算法选择表明确推荐 AES-256-GCM、Argon2id、Ed25519 等现代安全算法，避免过时方案
5. 跨 Skill 协同：与 DevOps、SecOps、Backend、Architect 技能形成安全能力闭环

潜在局限

1. 动态性挑战：安全威胁与 CVE 快速演变，工具版本与漏洞库需持续更新，Skill 内容存在滞后风险
2. 深度依赖经验：威胁建模与渗透测试高度依赖执行者经验，结构化方法无法完全替代专家判断
3. 合规地域差异：GDPR、HIPAA、PCI-DSS 等主要面向欧美市场，对其他地区合规要求覆盖有限
4. 自动化局限：密钥扫描工具存在误报/漏报，复杂业务逻辑漏洞仍需人工审计

适合人群

• 安全工程师与架构师：需要系统化威胁建模与架构评审框架
• 开发团队：寻求安全编码规范与代码审查清单
• DevOps/SRE 工程师：需集成安全扫描到 CI/CD 流水线
• 技术负责人：需建立事件响应机制与合规基线

常规风险

1. 工具误用风险：自动化扫描工具若配置不当可能导致生产系统性能影响或误报淹没
2. 过度依赖检查表：僵化遵循清单而忽视业务上下文，可能遗漏架构级设计缺陷
3. 加密实施陷阱：算法选择正确不代表实现安全，密钥管理、随机数生成等环节易出错
4. 事件响应时效：严重事件（P1）需 Immediate 响应，团队 readiness 不足可能扩大损失

核心功能

senior-security 是一套面向安全工程师的综合工具集，提供六大核心工作流：

1. 威胁建模（STRIDE）

• 支持数据流图（DFD）创建与信任边界映射
• 系统化应用STRIDE六类威胁分析（欺骗、篡改、抵赖、信息泄露、拒绝服务、权限提升）
• 集成DREAD风险评分模型，实现威胁优先级量化

2. 安全架构设计

• 纵深防御五层架构（边界/网络/主机/应用/数据）
• 零信任原则落地（显式验证、最小权限、假设失陷）
• 认证模式选型指南（OAuth 2.0+PKCE、mTLS、FIDO2等）

3. 漏洞评估

• 自动化扫描矩阵：SAST、DAST、依赖扫描、密钥检测
• OWASP Top 10映射与手动测试方法论
• 影响×可利用性二维严重度矩阵

4. 安全代码审查

• 10维度审查清单（输入验证、输出编码、认证授权、SQL/文件/密钥安全等）
• 不安全模式对照表（如MD5→Argon2id、字符串拼接→参数化查询）

5. 事件响应

• P1-P4分级响应机制与SLA定义
• 标准IR生命周期（识别/遏制/根除/恢复/复盘）

6. 工具与标准库

• 附赠Python脚本：threat_modeler.py（交互式STRIDE分析）、secret_scanner.py（20+密钥模式检测）
• 零第三方依赖，仅使用标准库

显著优点

| 维度 | 优势 |

|------|------|

| **内容权威性** | 严格对齐OWASP、CIS、NIST CSF等行业标准，非主观臆断 |

| **工程实用性** | 每个工作流均含Validation检查点，可直接嵌入CI/CD |

| **零依赖安全** | Python脚本纯标准库实现，无供应链攻击面 |

| **工具完整性** | 覆盖SDL全流程（设计→开发→测试→响应→运营） |

| **输出可落地** | 提供具体配置值（如TLS 1.3、AES-256-GCM、Strict-Transport-Security头） |

潜在局限

1. 领域聚焦：专注应用与云安全，工控/物联网/硬件安全覆盖有限
2. 云厂商特定性不足：AWS/GCP/Azure具体服务配置需结合senior-devops使用
3. 动态更新依赖：OWASP Top 10等标准年更，需人工维护references文档
4. 无实时威胁情报：不含CVE自动查询或IOC库，需外接SecOps工具

适合人群

• 安全架构师：设计评审与威胁建模阶段
• 应用安全工程师：SDL集成与代码审计
• 开发团队Tech Lead：建立安全编码规范与Checklist
• 红队/渗透测试人员：标准化评估流程与报告模板
• 合规/审计人员：对照NIST CSF、PCI-DSS等框架检查

常规风险提示

• 误用风险：威胁建模需业务上下文，自动化工具无法替代人工分析
• 扫描范围：secret_scanner仅覆盖静态文件，无法检测运行时内存或网络流量中的密钥
• 算法时效性：密码学推荐（如Ed25519）当前安全，需跟踪NIST后量子密码标准进展
• 配置固化：提供的安全头（CSP等）为示例基线，实际需根据应用功能调整（如CSP需配置具体script源）

使用建议

与senior-devops（CI/CD安全）、senior-secops（监控告警）、senior-backend（API安全）联动使用，构建完整DevSecOps能力栈。