Was macht defensive-appsec-review-skill?
Autorisierte defensive AppSec-Review-Fertigkeit für Repositories, APIs, CI/CD, IaC und KI-Systeme mit findings-orientierter Ausgabe.
Überblick
Diese Fertigkeit führt autorisierte defensive Sicherheitsüberprüfungen (AppSec-Reviews) für verschiedene Komponenten der Softwareentwicklung durch, darunter:
- Repositories: Überprüfung von Codecommit-Änderungen auf Sicherheitslücken
- APIs: Analyse von API-Endpunkten auf Authentifizierungs- und Autorisierungsprobleme
- CI/CD: Untersuchung der CI/CD-Pipelines auf Schwachstellen in der Lieferkette
- IaC: Prüfung von Infrastructure as Code (Terraform, CloudFormation, etc.) auf Sicherheitsfehlkonfigurationen
- KI-Systeme: Bewertung von KI-Modell-Integrationspfaden auf Risiken wie Prompt Injection oder Data Poisoning
Funktionsweise
- Eingabe: Der Anwender stellt einen Verweis auf das zu überprüfende Artefakt (z.B. Repository-URL, API-Spezifikation) bereit.
- Analyse: Die Fertigkeit führt automatisierte Scans und statische Analysen durch, um Sicherheitsfindungen zu identifizieren.
- Ausgabe: Die Ergebnisse werden als findings-orientierte Liste dargestellt, priorisiert nach Risikostufe, mit detaillierten Beschreibungen und Abhilfevorschlägen.
Plattformunterstützung
- GitHub
- GitLab
- Bitbucket
- Azure DevOps
Verwendung
# Beispielaufruf (CLI-ähnlich)
jovd83-defensive-appsec-review --target https://github.com/example/repo
Konfiguration
Setzen Sie die folgenden Umgebungsvariablen:
APPSEC_REVIEW_TOKEN: Authentifizierungstoken für den Zugriff auf RepositoriesAPPSEC_REVIEW_OUTPUT_FORMAT: Format der Ausgabe (Standard:markdown)
Sicherheitshinweise
Diese Fertigkeit sollte nur von autorisierten Sicherheitsexperten in kontrollierten Umgebungen verwendet werden. Sie ersetzt keine manuelle Überprüfung durch ein Sicherheitsteam.