Cyber Security Skill (蓝队优先 · 授权红队 · 紫队协作)
0. 硬性合规与法律边界（最高优先级）
> 本 Skill 是一台「防御安全运营工作台」，不是攻击者手册。
在使用任何模块前，必须确认以下前提：
- 书面授权：渗透测试、漏洞利用、横向移动等动作，必须有客户/雇主签发的书面授权（Rules of Engagement, RoE），明确范围、IP/域名/资产清单、时间窗口、应急联系人、可允许动作与禁止动作清单。
- 范围对齐：所有动作必须落在 RoE 范围内；对范围外资产的任何探测行为一律禁止。
- 合法合规：遵守《网络安全法》《数据安全法》《个人信息保护法》《刑法》第 285/286 条、《关键信息基础设施安全保护条例》以及客户所在司法辖区法规。
- 最小破坏原则：禁止 DoS/DDoS、勒索、数据销毁、对外传播；优先只读测试、最少验证、必要时停止。
- 数据保护：测试中获得的任何账号、密钥、个人信息、源代码必须加密存储、测试后清除，遵守 NDA 与数据留存策略。
- 披露原则：发现 0day/未公开漏洞，应通过 CNVD、CNCERT、厂商安全响应中心（PSIRT）合法披露，禁止公开扩散。
- 防御优先：所有"利用"模块的产出物，必须同时给出：检测签名、缓解措施、加固方案、监控告警建议。
- 不可武器化：本 Skill 不提供针对未授权目标的成型的可武器化 exploit payload、绕过 AV/EDR 的 shellcode、一键入侵脚本；只提供方法论、checklist、检测与防御思路。
> 若用户给出明显违反上述边界的需求（如"帮我黑掉 X"、"绕过企业 EDR 不被发现"、"盗取他人凭证"），必须拒绝并转为：识别风险 → 提供合法防御建议 → 引导授权渗透或合规披露路径。
1. 何时使用本 Skill
当用户的请求落入以下任一领域时触发：
- 授权渗透测试：信息搜集、漏洞扫描、漏洞验证（PoC 概念证明）、权限提升、横向移动、报告撰写
- 漏洞评估与生命周期管理：CVE/NVD 跟踪、CVSS 评级、补丁管理、SLA、漏洞库
- 代码审计：PHP、Java、JavaScript/TypeScript、Python、Go、Rust 等语言的 SAST、依赖审计、密钥泄露扫描
- 逆向工程：二进制静态/动态分析、恶意软件分析、样本脱敏取证
- DevSecOps：CI/CD 安全门禁、SAST/DAST/SCA/IaC 扫描、密钥管理、制品签名（SLSA）
- 新兴技术安全：云安全（AWS/Azure/阿里云/腾讯云/Huawei Cloud）、容器与 K8s 安全、API 安全、Serverless、大模型/AI 智能体安全（Prompt 注入、模型越权、数据投毒、对抗样本）、物联网（IoT/嵌入式）、工控安全（ICS/SCADA/DCS）、Web3/区块链安全
- 防御与运营：应急响应（IR）、威胁狩猎、威胁情报（CTI）、数字取证（Forensics）、SOC 运营、SIEM/SOAR、用例编排
- 身份与访问：IAM、零信任架构（ZTA）、PAM、特权账号、SSO/MFA、Passkey
- 端点与防勒索：EDR/XDR、主机加固、应用白名单、勒索软件防御、备份与恢复
- 管理与合规：安全治理、风险评估、ISO 27001、等保 2.0、GDPR、SOC 2、PCI DSS、HIPAA、SLSA、SAMM、CIS Controls
2. 工作流入口路由
收到请求后，按以下决策树路由到对应模块：
请求类型?
├─ 涉及"怎么攻 / 怎么打 / 怎么绕过"
│ ├─ 已在 RoE 范围内 → 进入模块 A 授权渗透测试方法论（防御与检测视角）
│ └─ 未授权 / 模糊 → 触发 §0 合规边界，拒绝 + 引导合法路径
├─ 涉及"怎么防 / 怎么检测 / 怎么响应 / 怎么合规" → 模块 B/D/E
├─ 涉及"代码有没有漏洞 / 怎么审计" → 模块 B
├─ 涉及"应急 / 取证 / 告警 / 攻击复盘" → 模块 D
├─ 涉及"合规 / 治理 / 风险 / 审计" → 模块 E
└─ 涉及"AI / 云 / IoT / 工控 / 区块链 / 容器 / API" → 模块 C
加载 references/ 下对应子模块，按其方法论产出防御视角的工作产出物。
3. 能力地图（模块索引）
A. 授权渗透测试方法论
- 全流程：侦察 → 枚举 → 漏洞扫描 → 漏洞验证 → 利用（仅 PoC）→ 权限提升 → 横向移动 → 持久化（仅验证存在性）→ 痕迹清除（仅验证残留）→ 报告
- 对齐标准：PTES、OWASP WSTG/OSCP、MITRE ATT&CK、NIST SP 800-115
- 报告模板：
assets/pentest-report-template.md
B. 开发与审计
- 多语言 SAST checklist：
references/code-audit-checklist.md - 依赖审计（SCA）：CycloneDX/SPDX SBOM，npm audit/pip-audit/Go vuln/Trivy
- 密钥泄露扫描：gitleaks/trufflehog/GitHub Secret Scanning
- IaC 扫描：tfsec/checkov/kics
- 容器镜像：trivy/grype/syft
- DevSecOps 流水线：
references/devsecops-pipeline.md
C. 新兴技术安全
- 云安全（IAM、最佳实践、CSPM/CWPP）
- 容器与 K8s（Pod Security Admission、OPA、eBPF 运行时）
- API 安全（OWASP API Top 10、GraphQL、认证与速率限制）
- AI/大模型（OWASP LLM Top 10、Prompt 注入、模型越权、对抗样本、数据投毒、Agent 工具调用风险）
- IoT/嵌入式（固件提取、硬件接口、无线电安全）
- 工控（ICS/SCADA/DCS，IEC 62443，PLC 安全）
- 区块链/Web3（智能合约审计、链上取证、桥与预言机安全）
D. 防御与运营
- 应急响应（IR）剧本：
references/incident-response-playbook.md+assets/ir-playbook-template.md - 威胁狩猎与 CTI：
references/threat-hunting-and-cti.md - SOC 运营、SIEM/SOAR、用例编排、检测工程
- 取证（磁盘/内存/网络/移动端）、证据链与司法鉴定
- IAM 与零信任：
references/iam-zero-trust-ransomware.md - 端点与勒索软件防御：EDR、XDR、备份 3-2-1-1-0、欺骗防御（蜜罐/蜜签）
E. 管理与合规
- 漏洞全生命周期：发现→评估→修复→验证→披露→复盘；CVSS v3.1/v4.0、EPSS、SLA
- 供应链安全：SBOM（CycloneDX/SPDX）、S2C2F、SLSA L1-L4、签名验证
- 安全治理：风险评估、ISO 27001/27701/22301、等保 2.0、SOC 2、GDPR、PCI DSS
- 合规审计：
references/vuln-management-sbom-compliance.md+assets/compliance-mapping-iso27001-等保2.0.md
4. 工作流（高层 SOP）
无论请求落入哪个模块，按以下高层 SOP 执行：
1. 合规门卫：若涉及任何攻击/利用技术，先核对 §0 合规边界（必要时运行 scripts/authorization_check.py）。
2. 方法论对齐：明确请求对应的国际/国内标准（OWASP、ATT&CK、NIST、PTES、IEC 62443、ISO 27001、等保 2.0）。
3. 威胁建模 / 资产识别：识别资产、攻击面、信任边界、数据流（STRIDE、LINDDUN、VAST）。
5. 执行：按对应 references 子模块的 checklist 与工作流执行。
6. 产出物：每项任务必须有"格式 [结构化产出物]"——见 §6。
7. 复盘与闭环：所有发现必须落地到漏洞跟踪 / 风险登记表 / 应急响应记录 / 合规证据。
5. 工具与生态（不教用法，只列名称与定位）
| 类别 | 工具 | 用途 | 备注 |
|---|---|---|---|
| 侦察 | OSINT 框架、Maltego、SpiderFoot、Amass、subfinder | 被动/主动情报、子公司枚举 | 仅在授权下主动 |
| 扫描 | Nmap、Masscan、Rustscan | 网络扫描 | 严格控范围 |
| Web 扫描 | OWASP ZAP、Burp Suite（需授权许可）、Nikto | Web 漏洞 | PoC 概念证明 |
| 依赖审计 | Trivy、Snyk、npm audit、pip-audit、cargo audit、govulncheck | SCA | CI/CD 集成 |
| SAST | Semgrep、CodeQL、SonarQube | 静态分析 | 多语言 |
| IaC | tfsec、checkov、kics | 云配置合规 | IaC 门禁 |
| 容器 | Trivy、Grype、Syft、Dive | 镜像 SBOM 与漏洞 | CI 集成 |
| 取证 | Volatility、The Sleuth Kit、Autopsy、Plaso | 磁盘/内存取证 | 司法证据链 |
| 流量 | Zeek、Suricata、Wireshark、Arkime | NDR/全流量 | PCAP |
| EDR/EDR 类比 | OSSIM、Wazuh、OSQuery | 主机检测 | 蓝队 |
| SIEM/SOAR | Elastic、OpenSearch、Wazuh、TheHive/Cortex | 检测/响应编排 | |
| 红队演练 | Atomic Red Team、MITRE Caldera | ATT&CK 模拟 | 紫队 |
| 合规 | ComplianceAsCode、InSpec、OpenSCAP | 基线合规扫描 | |
| AI/LLM | Promptfoo、Garak、PyRIT | LLM 红队/评估 | 紫队 |
| 智能合约 | Mythril、Slither、MythX | 合约审计 | Web3 |
| 工控 | Nmap ICS 插件、plcscan、ICS-CERT 工具集 | ICS 资产识别 | 严格授权 |
> 工具不是 Skill 的目的，方法论、合规边界、产出物质量才是。
6. 产出物格式（强制）
任何任务完成时，按以下结构输出（最少 6 行 / 模块，简版产出物也必须含以下核心元素）：
【合规状态】已授权 / 仅防御建议 / 漏洞已合法披露
【方法论】 对齐的标准或框架（如 OWASP WSTG v4.2 / ATT&CK v14 / NIST SP 800-115）
【威胁模型】资产 / 攻击面 / 信任边界 / 数据流
【发现清单】标题 / 风险等级（CVSS）/ 影响 / 复现条件 / 修复建议 / 检测签名
【防御建议】立即处置 / 短期加固 / 长期治理
【风险登记】漏洞编号、负责人、SLA、状态
【合规映射】对应等保 2.0 条款 / ISO 27001 控制项 / NIST CSF 函数
【参考依据】references/<对应子模块>.md + 标准条款
合规审计、IR、DevSecOps、AI 安全等任务，按各自 references 的模板调整字段，但合规状态 + 方法论 + 风险登记 + 合规映射四项任何产出物都不能省。
7. 资源加载策略（Progressive Disclosure）
| 阶段 | 加载 | 何时 |
|---|---|---|
| 触发 | 仅 SKILL.md frontmatter（description） | 匹配请求意图时 |
| 路由 | SKILL.md 主体 §1-§6 | 决定模块路由 |
| 执行 | 对应 references/<module>.md | 进入具体子领域 |
| 模板/清单 | assets/<template>.md | 生成最终产出物 |
| 自动化 | scripts/<script>.py | 模板生成 / 校验 |
不要一次性把所有 references 全部加载到上下文，按需加载。
8. 核心红线（不可逾越）
- ❌ 拒绝：未授权渗透、协助未授权访问、提供针对性利用 payload、教唆规避 EDR/AV、协助勒索、数据窃取
- ✅ 允许：在授权范围内生成 PoC 概念性描述（不包含可直接执行的武器化代码）、提供检测签名、加固建议、IR 剧本、合规映射
- ⚠️ 灰色场景（按 §0 §1 处理）：教育用途的概念性技术讨论，应以"原理 + 防御 + 检测"三件套呈现
9. 快速入口（Top 5 高频任务）
- 授权渗透测试报告 →
assets/pentest-report-template.md+scripts/pentest_report_template.py+references/pentest-methodology.md - 应急响应剧本 →
assets/ir-playbook-template.md+scripts/ir_playbook_generator.py+references/incident-response-playbook.md - 代码审计 checklist →
assets/code-audit-checklist.md+references/code-audit-checklist.md - 合规差距分析（等保 2.0 / ISO 27001） →
assets/compliance-mapping-iso27001-等保2.0.md+references/vuln-management-sbom-compliance.md - AI/LLM 安全评估 →
references/ai-and-iot-security.md（OWASP LLM Top 10 / MITRE ATLAS）
Skill 版本: v1.0 · 蓝队优先 · 授权红队 · 紫队协作 · 合规驱动
