资深安全工程师工具包，覆盖威胁建模、漏洞评估、安全架构设计与渗透测试，整合STRIDE、OWASP与零信任最佳实践
说明：
## 核心功能概述
`sanior-security` 是一款面向企业级安全工程的综合性技能工具，专注于威胁建模、安全架构设计、漏洞评估、安全代码审查与事件响应五大核心场景。该技能以STRIDE方法论、DREAD风险评分、纵深防御架构及零信任原则为理论基础，提供从设计到运维的全生命周期安全指导。
### 显著优点
1. **方法论体系完整**：涵盖STRIDE威胁分类、DREAD量化评分、纵深防御五层模型、零信任三原则等成熟框架，确保分析过程标准化、可复现
2. **实战工具丰富**：内置 threat_modeler.py 和 secret_scanner.py 等脚本，支持自动化威胁建模与密钥泄漏检测，可直接集成CI/CD流水线
3. **多维度覆盖**：从数据流图(DFD)绘制到加密算法选型(AES-256-GCM/Argon2id/Ed25519)，从OWASP Top 10漏洞检测到事件响应分级(P1-P4)，覆盖技术与流程双维度
4. **代码级安全指导**：提供Python等语言的SQL注入、密码哈希、密钥扫描等具体安全/不安全代码对比，降低落地门槛
5. **合规框架对齐**：明确映射GDPR、HIPAA、PCI-DSS、SOC 2等合规要求，助力企业通过安全审计
### 潜在局限
– **语言侧重**：代码示例以Python为主，对Java、Go、Rust等语言的覆盖需用户自行扩展
– **工具链依赖**：推荐的Semgrep、CodeQL、Trivy等工具需额外部署，技能本身不提供运行时环境
– **云原生深度**：容器安全(K8s安全策略、Service Mesh)提及有限，需配合senior-devops技能补充
– **动态更新**：CVE数据库、OWASP Top 10版本依赖外部引用，存在信息时效性风险
### 适合人群
– 安全架构师：设计零信任网络与加密策略
– 应用安全工程师：执行STRIDE威胁建模与代码审计
– DevSecOps工程师：集成SAST/DAST/密钥扫描至CI/CD
– 渗透测试人员：参考漏洞评估流程与工具链
– 开发团队技术负责人：建立安全编码规范与审查清单
### 常规风险提示
1. **扫描误报风险**：自动化密钥扫描可能匹配测试用例中的模拟凭证，需人工复核
2. **加密误用风险**：技能推荐AES-256-GCM，但nonce重用将导致 catastrophic failure，需确保实现正确
3. **权限配置风险**：纵深防御中的RBAC/ABAC若配置不当，可能产生过度授权或授权遗漏
4. **事件响应时效**：P1级事件要求”立即响应”，实际执行依赖组织SLA与值班制度，技能仅提供流程框架
会员专属
