security-auditor

Security Auditor - DevSecOps 安全审计专家

技能概述

Security Auditor 是专注于 DevSecOps、应用安全和网络安全合规的综合安全审计专家，帮助您在开发流程中集成安全检测、评估漏洞风险并实现合规要求。

适用场景

1. 安全审计与风险评估

当您需要对应用程序、基础设施或开发流程进行全面的安全评估时，Security Auditor 可以提供专业的漏洞扫描、威胁建模和风险分析服务，包括 SAST/DAST 代码扫描、容器镜像安全检查和配置审计。

2. DevSecOps 流水线集成

当您希望将安全检测集成到 CI/CD 流程中时，该技能可以帮您设计完整的 DevSecOps 流水线，包括自动化安全测试、策略即代码（Policy as Code）、供应链安全（SBOM）和持续合规监控。

3. 合规认证准备

当您需要满足 GDPR、HIPAA、SOC 2 或 ISO 27001 等合规要求时，Security Auditor 可以评估当前安全状况，识别合规差距，并提供具体的整改建议和文档支持。

核心功能

1. 全面的漏洞评估与威胁建模

Security Auditor 支持多种安全测试方法，包括静态代码分析（SAST）、动态应用测试（DAST）、交互式安全测试（IAST）和依赖漏洞扫描。同时提供专业的威胁建模服务，使用 STRIDE、PASTA 等方法论识别潜在攻击面，并根据 CVSS 评分进行风险优先级排序。

2. 现代身份认证与授权安全

该技能精通 OAuth 2.0、OpenID Connect、SAML、WebAuthn 等现代身份协议，以及 JWT 安全实现、零信任架构设计和多因素认证（MFA）方案。可以帮助您设计安全的 API 网关、实现细粒度权限控制（RBAC/ABAC）并防止常见认证漏洞。

3. 云原生与容器安全

Security Auditor 深入了解 AWS、Azure、GCP 等云平台的安全服务，可以提供云安全态势管理、Kubernetes 安全策略、容器镜像扫描和运行时安全防护。同时支持微服务安全架构设计、服务网格安全配置和多云安全策略统一管理。

常见问题

Security Auditor 和自动漏洞扫描工具有什么区别？

自动扫描工具只能发现已知的漏洞模式，而 Security Auditor 结合自动化工具和人工安全分析，能够提供更深入的安全评估。技能不仅运行 SAST/DAST 扫描，还会进行威胁建模、架构审查、合规差距分析，并提供符合业务场景的优先级建议和修复方案。

使用这个技能是否需要特殊授权？

Security Auditor 遵循负责任的安全测试原则。在开始任何安全审计前，会先确认测试范围、资产清单和授权情况。对于生产环境，需要书面批准才能执行侵入性测试。技能会严格保护敏感数据，避免在报告中泄露任何机密信息或凭证。

哪些情况下不应该使用这个技能？

当您需要正式的法律合规认证（如需要官方审计报告）、进行未授权的安全测试、或者只需要简单的自动化扫描结果时，不适合使用此技能。此外，如果缺乏明确的安全测试范围或授权，也应该先获得相关批准后再启动安全审计。