security-automation

Files (1)

• SKILL.md

SKILL.md (first lines)

# 安全自动化深度技能（攻防双视角 + AI 原生自动化）

> **AI LOAD INSTRUCTION**: DevSecOps 与安全自动化专家方法论。聚焦流水线卡点选型→扫描工具链→策略即代码→漏洞生命周期→SOAR/Agentic 编排→误报治理。自动化结论保留原始证据，门槛对齐 pentest-verification。

## 概述

安全自动化是将安全能力嵌入 DevOps 与安全运营流程的核心实践。本技能系统化覆盖**代码提交→构建→测试→部署→运行**全生命周期安全自动化，同时站在**资深攻防专家双视角**：红队视角关注"自动化打点—攻击链验证—漏洞利用"，蓝队视角关注"自动检测—降噪—编排响应"。v3.0.0 在 v2.0.0 基础上新增 **SOAR 深度编排、Agentic AI 安全自动化、大模型安全运营（LLM 告警分析与降噪）、AI 辅助剧本生成、攻防双视角自动化、误报治理与质量保障、合规自动化（证据收集/报告）** 等高级维度，并给出与 Eino 技能系统的联动方式。

### 核心概念
- **安全左移（Shift-Left）**：将安全检测从生产阶段前置到需求/编码/构建阶段，缺陷修复成本随阶段后移指数上升
- **门禁（Quality Gate）**：扫描结果不达标即阻断流水线（硬门禁）或降级放行+风险登记（软门禁）
- **SAST/DAST/SCA/IAST**：静态/动态/软件成分/交互式应用安全测试，四类扫描互补覆盖
- **SBOM**：软件物料清单，供应链安全的可观测基础（CycloneDX/SPDX）
- **SOAR**：安全编排、自动化与响应，三要素=编排（连接工具）+自动化（执行逻辑）+响应（处置闭环）
- **剧本（Playbook）**：预定义响应流程，全自动/半自动（HITL 审批）/全手动三种模式
- **Agentic 自动化**：AI Agent 自主规划—决策—执行多步任务，区别于执行预编排剧本的 SOAR 与辅助分析的副驾（Copilot）
- **HITL（Human-in-the-loop）**：关键动作人工审批，Agentic 自动化安全的底线护栏
- **ATT&CK**：MITRE 攻击技战术知识库，红队模拟与蓝队检测映射的统一语言
- **误报治理**：通过验证、去重、关联、置信度阈值将"告警洪流"收敛为"可执行任务"

### 2025-2026 行业演进要点
- SOAR 已从独立产品**演进为 SIEM/XDR 原生能力**（Gartner Hype Cycle 确认），并与 SIEM 统一负载
- **自然语言剧本创建**与**自适应剧本**（运行期根据证据动态调整）取代静态线性剧本
- **Agentic SOC** 成为主流：D3 Morpheus（单一推理引擎+运行时生成剧本）、Palo Alto Cortex AgentiX（XSOAR 继任者）、Microsoft Security Copilot+Sentinel、CrowdStrike Charlotte AI、SentinelOne Purple AI 等
- **LLM 告警 Triage 实证**：源特定智能体编排 + 确定性过滤先行，低危告警全量自动 Triage，升级率可压至 ~3%，节省数千分析师小时
- **AI 红队三级进化**：脚本自动化（<2020）→ AI 决策赋能（2020-2024）→ 智能体协同（2024+，多智能体自主规划攻击路径）
- **Exploit-validated 结果**成为行业标准：只上报"已被利用验证"的漏洞，消除 90%+ 扫描噪声

## 一、DevSecOps 全流程与安全左移

### 1.1 安全左移模型
```
Plan阶段:   威胁建模(STRIDE) → 安全需求 → 安全设计评审 → 攻击面分析
Code阶段:   IDE安全插件 → Pre-commit Hook(密钥/格式) → 代码审计(SAST)
Build阶段:  SAST → SCA → 依赖漏洞 → 许可证合规 → 构建产物签名
Test阶段:   DAST → IAST → 渗透测试 → Fuzzing → API安全测试
Deploy阶段: 容器扫描 → IaC审计 → 配置合规 → 供应链校验(SBOM)
Run阶段:    RASP → WAF → 运行时监控(Falco) → 漏洞管理 → 自动化应急响应
```

### 1.2 安全管道架构（GitLab CI 示例）
```yaml
stages:
  - security-scan

sast:
  stage: security-scan
  image: semgrep/semgrep
  script:
    - semgrep --config=auto --json -o sast-results.json .
  artifacts:
    reports:
      sast: sast-results.json

dependency-scan:
  stage: security-scan
  image: aquasec/trivy
  script:
    - trivy fs --format json -o deps-results.json .

container-scan:
  stage: security-scan
  image: aquasec/trivy
  script:
    - trivy image --format json -o container-results.json $CI_REGISTRY_IMAGE

secret-scan:
  stage: security-scan
  image: zricethezav/gitleaks
  script:
    - gitleaks detect --source . --report-format json --report-path secrets.json

iac-scan:
  stage: security-scan
  image: bridgecrew/checkov
  script:
    - checkov -d terraform/ -o json > iac-results.json
```

### 1.3 全链路安全门禁（Gate）
```bash
# 门禁原则：扫描发现 X 级漏洞 → 阻断发布；Y 级漏洞 → 放行+缺陷登记+限时修复
# 示例：Semgrep 阻断严重级
if grep -q '"severity": "ERROR"' sast-results.json; then
  echo "检测到严重级SAST漏洞，阻断流水线"
  exit 1
fi

# 示例：Trivy 高危漏洞阈值阻断（支持 --exit-code --severity 直接内嵌）
trivy image --exit-code 1 --severity CRITICAL,HIGH --ignore-unfixed $IMAGE
```
- **硬门禁**：CRITICAL/HIGH 直断；**软门禁**：MEDIUM/LOW 放行但自动创建缺陷单并追踪 SLA
- 门禁参数建议统一由 `security-config` 仓库管理，扫描器只读配置，避免各团队自行放水

### 1.4 度量与指标
| 指标 | 含义 | 建议目标 |
|------|------|---------|
| 漏洞密度 | 每千行代码漏洞数 | 持续下降趋势 |
| MTTR | 平均修复时间（漏洞/告警） | 按 SLA 分级 |
| 修复率 | 周期内修复/新增 | ≥90% |
| 门禁拦截率 | 流水线被安全阻断比例 | 反映左移生效度 |
| 误报率 | 确认误报/总告警 | <30% 持续优化 |
| 覆盖率 | 扫描资产/全量资产 | ≥95% |

## 二、自动化扫描工具链

### 2.1 SAST（静态应用安全测试）
| 工具 | 语言 | 特点 |
|------|------|------|
| Semgrep | 多语言 | 规则灵活，自定义强，OSS 规则社区 |
| CodeQL | 多语言 | GitHub 集成，数据流/污点分析 |
| SonarQube | 多语言 | 代码质量+安全，质量门禁 |
| Bandit | Python | Python 专用 |
| Brakeman | Ruby | Rails 专用 |
| Gosec | Go | Go 专用 |
| ESLint Security / eslint-plugin-security | JS/TS | Node.js 安全 |
| Snyk Code / Fortify / Checkmarx | 商业 | 企业级，IDE/CI 全覆盖 |

**实战要点**：SAST 按团队细分规则集（新项目严/存量项目宽），结果按文件变更行（diff）过滤，只上报"本次改动引入"的问题，避免存量噪声淹没新问题。

From langbyyi/CyberStrikeAI-SRC, Apache-2.0.

More from langbyyi/CyberStrikeAI-SRC