vulnerability-scanner

漏洞扫描专家技能

技能概述

基于 2025 年威胁态势的智能漏洞分析能力，涵盖 OWASP Top 10 最新标准、供应链安全检测、攻击面映射和风险优先级评估。

适用场景

代码安全审计

在代码审查阶段自动识别高风险安全模式，包括 SQL 注入、路径遍历、不安全反序列化等常见漏洞，检测硬编码密钥和敏感信息泄露。

上线前安全检查

应用部署前进行全面的安全验证，包括配置检查、依赖审计、攻击面分析，确保符合 OWASP 2025 安全标准和行业最佳实践。

安全风险评估

结合 CVSS 评分、EPSS 指标和资产价值进行智能风险排序，帮助团队优先处理最关键的安全问题，避免被低风险漏洞分散注意力。

核心功能

1. OWASP Top 10:2025 全面覆盖

支持 2025 年最新 OWASP 风险分类检测，重点关注供应链安全（A03）和异常条件处理（A10）两大新增类别。检测包括访问控制漏洞、安全配置错误、加密失败、注入攻击、认证失败等十大类风险。

2. 供应链安全检测

分析项目依赖、锁定文件、构建流程和注册表来源，检测恶意包风险、完整性攻击和 Typosquatting 攻击。支持包验证、版本固定和签名验证等供应链防御措施检查。

3. 智能风险优先级

结合 CVSS 基础评分、EPSS 利用概率、资产价值和暴露面进行综合风险评分。提供决策树帮助判断：正在被利用的漏洞立即处理，CVSS ≥9.0 优先修复，低风险漏洞可安排后续修复。

常见问题

OWASP 2025 相比 2021 有什么新变化？

OWASP 2025 最显著的变化是新增了两个类别：A03 供应链安全和 A10 异常条件。同时 SSRF 从独立类别合并到 A01 访问控制中，重点从症状转向根本原因分析。这些变化反映了近年来 SolarWinds、Log4j 等供应链攻击事件的影响。

如何评估漏洞的优先级？

建议使用多维评估：首先检查 EPSS 分数，如果 >0.5（正在被活跃利用）标记为紧急；然后看 CVSS 基础分数，≥9.0 为高风险；最后结合资产价值和暴露面（是否面向互联网）进行最终决策。不要盲目修复所有 CVE。

失败开放（Fail-Open）和失败关闭（Fail-Closed）有什么区别？

失败开放是指在错误发生时允许访问或接受输入，这是不安全的做法；失败关闭则是在错误时拒绝访问或拒绝输入，是推荐的安全实践。例如：认证服务故障时应拒绝所有访问（Fail-Closed），而不是允许绕过认证（Fail-Open）。