프리프로덕션 보안 감사
지정된 릴리스에 대한 의사 결정에 유용한 보안 평가를 생성합니다. 검토한 내용, 증거가 뒷받침하는 사항, 아직 알려지지 않은 사항, 그리고 각 문제를 수정하고 검증하는 방법을 설명합니다. 보고서는 사용자가 다른 언어를 요청하지 않는 한 기본적으로 영어를 사용합니다.
현재 호스트에서 사용할 수 있고 승인된 기능만 사용합니다. 번들된 참조는 이 스킬 폴더를 기준으로 확인합니다. 로컬 파일 접근, 셸/스캐너, 브라우징, 커넥터 및 위임은 가정하지 않습니다. 기능을 사용할 수 없는 경우 제공된 증거를 검토하고 U-### 격차를 기록합니다. 요청된 파일 시스템 대상에 쓸 수 없는 경우 보고서를 다운로드 가능한 아티팩트 또는 마크다운 텍스트로 제공하고 전달 제한 사항을 명시합니다.
검사 선택 전 보정
- 요청된 평가, 대상 릴리스 또는 커밋, 배포 대상, 사용 가능한 증거, 기존 권한을 식별합니다. 사용자의 범위와 이전 답변을 유지합니다.
- 범위 지정 질문을 읽습니다. 리포지토리 검토가 아직 요청되지 않았거나 명확히 포함되지 않은 경우 Q-00을 리포지토리 내용 검사 전에 해결합니다. 리포지토리 또는 코드 감사 요청은 이미 이 질문에 답변한 것이므로 다시 묻지 않습니다. 사용자가 리포지토리 검토를 제외하는 경우 선택된 문서/구성/런타임 증거를 기반으로 작업하고 해당 제한 사항을 기록합니다.
- 프로젝트 코드를 실행하지 않고 범위 내의 프로젝트 메타데이터와 문서만 검사합니다. 사실을 추론 및 사용자 진술과 별도로 기록합니다. 남은 중요한 질문을 짧은 배치로 묻고 제품, 노출, 호스팅, ID, 데이터 및 사용 가능한 접근 권한별로 분기합니다. 기다리는 동안 독립적으로 승인된 작업을 계속합니다. 침묵은 해결되지 않은 범위 선택에 대한 답변이 아닙니다.
- 보고서에 범위 스냅샷, 선택된 모듈, 적용 가능한 제어 ID, 허용된 검사 및 해결되지 않은 질문을 기록합니다. 답변이 범위를 변경할 때 이 스냅샷을 업데이트합니다.
관련 모듈로 라우팅
항상 감사 방법 및 결과 및 우선순위를 사용합니다. 표면이 존재하거나 조사가 필요한 경우에만 모듈 세부 정보를 로드합니다. 모듈이 단순히 존재한다고 해서 모든 모듈을 로드하지 마십시오.
35개 도메인 커버리지 맵을 사용하여 원래 평가 영역을 제어 ID와 연결합니다. 도구 지원 검사가 범위 내에 있는 경우 스캐너 실행 절차를 따라 Gitleaks, Semgrep CE, Trivy 및 ZAP을 사용합니다. 증거 및 가용성에 따라 도구를 선택하고 실제 실행, 오류 및 누락을 기록합니다. 수동 전용 요청은 스캐너를 활성화하지 않습니다.
종속성 인벤토리의 경우 먼저 대상 일치 SBOM을 재사용한 다음 생성이 필요하고 허용되는 경우 Trivy를 사용합니다. 네이티브 패키지 그래프, Syft 및 소스 가져오기 분석은 선택적 보충 자료입니다. 동일한 참조의 인벤토리 절차를 따릅니다. 패키지 관계를 코드 가져오기 및 런타임 관계와 분리하여 유지합니다.
| 표면 | 모듈 | 라우팅 지침 |
|---|---|---|
| 모든 평가 | 아키텍처 | 자산, 신뢰 경계, 중요 작업, 노출 및 책임을 설정합니다. |
| 계정, 권한, 테넌트, 세션 또는 서비스 ID | ID 및 액세스 | 제품에 로그인이 없더라도 인프라 ID를 포함합니다. |
| 웹 인터페이스, API, 워커, 파일 또는 통합 | 애플리케이션 및 API | 실제 입력, 출력, 프로토콜 및 비즈니스 경로에 대한 제어를 선택합니다. |
| 데이터, 자격 증명, 암호화, 데이터베이스 또는 스토리지 | 데이터 및 비밀 | 개인 데이터가 없더라도 자격 증명 및 메타데이터를 포함합니다. |
| 배포된 서비스 또는 계획된 배포 | 인프라 및 배포 | 공급자 및 배포 모델과 일치시킵니다. 의도된 구성을 관찰된 런타임과 구별합니다. |
| 소스, 종속성, 빌드 또는 릴리스 프로세스 | 공급망 | 리포지토리 검토가 포함된 경우 두 번째 권한 질문을 기다리지 않고 발견된 CI/CD 정의, 해당 스크립트/템플릿, 신뢰 전환 및 배포 게이트를 검사합니다. 효과적인 플랫폼 설정은 별도의 증거 소스로 유지됩니다. |
| 서비스가 운영에 들어가거나 이미 운영 중 | 운영 및 복원력 | 탐지, 복구, 인시던트 처리, 가용성 및 소유권을 평가합니다. |
| LLM, RAG, AI 도구, 에이전트 또는 MCP | AI 및 에이전트 | 모델 입력, 데이터 액세스, 위임된 권한, 출력 및 리소스 제한을 검토합니다. |
| 모바일, 데스크톱 또는 브라우저 확장 클라이언트 | 모바일 및 데스크톱 | 플랫폼 섹션을 선택하고 백엔드를 별도로 감사합니다. |
지원되지 않는 전문 표면(예: 산업 장비 또는 사용자 정의 하드웨어)의 경우 커버리지 제한 및 필요한 전문가 검토를 문서화합니다. 소프트웨어 모듈이 이를 완전히 평가한다고 암시하지 마십시오.
검사 및 기록
- 감사 방법의 증거, 권한 및 실행 규칙을 따릅니다. 감사 요청은 분석 및 보고서 생성을 승인합니다. 프로덕션 변경, 파괴적 프로브 또는 민감한 결과 게시를 자동으로 승인하지 않습니다.
- 리포지토리 검토는 합의된 파일, 소스 경로, 매니페스트, 관련 기록 및 CI/CD 정의를 포함합니다. 하드코딩된 비밀, 안전하지 않은 대체 값, 환경별 대상 및 고정 보안/ID 정책을 포함합니다. 더 좁은 경로/기록 제외 사항을 존중합니다. 보안 결과 없이 일반 상수를 취약점으로 레이블을 지정하지 마십시오.
- 작업 중 증거 원장, 제어 매트릭스, 결과, 미지수, 감사 경로 가장자리 및 종속성 가장자리를 유지합니다. 모든 중요한 주장을 정확한 소스 위치 또는 관찰 및 검사된 버전/환경에 연결합니다.
- 스캐너 출력은 컨텍스트가 부여될 때까지 리드로 처리합니다. 확정된 결함 또는 릴리스 결과를 할당하기 전에 관련 호출자, 가드, 데이터 경로, 구성 및 배포 가정을 추적합니다.
- 인벤토리 후 공급망 모듈의 집중된 현재 권고 분류(SC-003)를 적용하여 중요 구성 요소 및 알려진 악용되거나 중요/높은 문제를 우선시합니다. 정확한 패키지/버전 일치, 날짜가 지정된 소스, 확인된 수정 사항, 로컬 노출 및 질의된 커버리지를 기록합니다. 오프라인 또는 실패한 조회는 명시적인 격차로 유지됩니다.
- 커버리지, 결과, 수정 및 그래프에서 동일한 제어 ID를 사용합니다. 기본 원인이 동일한 결과를 중복 제거하면서 영향을 받는 표면을 유지합니다.
- 긴 검토의 경우 지원되는 경우 독립적인 모듈을 위임합니다. 각 검토자에게 범위 및 ID 할당을 제공한 다음 보고서를 작성하기 전에 공유 신뢰 경계 및 상충되는 주장을 조정합니다.
- 접근 또는 도구를 사용할 수 없는 경우 제한 사항을 기록하고 유용한 작업을 계속합니다. 실패한 검사는 통과된 검사가 아닙니다. 알 수 없는 제어는 해당 없음이 아닙니다.
보고서 제공
보고서 템플릿을 사용합니다. 기본적으로 감사 대상 프로젝트 내 security-audits/<YYYY-MM-DD>-<revision-or-target>/security-audit.md에 새 파일을 생성합니다(사용자가 다른 대상을 지정하지 않는 한). 해당 대상이 이미 존재하는 경우 충돌하지 않는 접미사를 사용합니다. 대상 보고서를 이 스킬 내부에 저장하거나, 이전 평가를 덮어쓰거나, 요청되지 않은 경우 보고서를 커밋/업로드하지 마십시오.
필요한 두 개의 Mermaid 다이어그램을 모두 포함합니다:
- 분석 경로 그래프: 범위 및 아티팩트에서 수행된 검사를 거쳐 결과, 뒷받침되는 결론 및 격차에 이르는 관찰 가능한 감사 추적입니다. 검사된 항목과 검사가 중단된 위치를 보여줍니다. 이는 증거 맵이지 개인적인 추론이나 만들어진 연대기가 아닙니다.
- 분석된 종속성 그래프: 검사된 구성 요소, 패키지 종속성, 서비스, ID 시스템, 스토리지 및 외부 통합으로 명시적 가장자리 유형, 증거 참조 및 검사 커버리지를 포함합니다. 검사되지 않은 중요한 경계를 그대로 포함합니다.
원장에서 감사 방법의 그래프 계약을 사용하여 그래프를 작성합니다. Mermaid 렌더링 없이도 보고서를 사용할 수 있도록 노드/가장자리 테이블을 포함합니다. 대규모 종속성 맵은 종속성 섹션 아래에 런타임/서비스, 패키지/빌드 또는 CI/CD 신뢰 관계별로 분할합니다. 검토된 파이프라인의 경우 트리거/입력 → 작업 → 러너/ID → 아티팩트 → 환경을 실제 게이트, 신뢰 경계 및 검사되지 않은 설정과 구별하여 보여줍니다.
보고서에는 우선순위 수정 계획, 소유자 또는 할당되지 않은 역할, 수정 사항 간의 종속성, 승인 테스트, 잔여 위험 및 해결되지 않은 결정이 포함되어야 합니다. 결과 규칙을 사용하여 제한된 준비 권장 사항을 명시합니다. 이 스킬은 배포를 승인하거나 규정 준수를 인증하지 않습니다.
최종 품질 검사
- 범위, 개정, 증거 링크, 제어 상태 및 모든 결과/미지수 ID가 텍스트, 테이블, 그래프 및 계획에서 일치하는지 확인합니다.
- 그래프 가장자리 방향과 레이블을 확인합니다. 선언, 관찰된 동작, 추론 및 사용할 수 없는 증거를 명확히 구분합니다. 템플릿 예제 데이터를 모두 제거합니다.
- 자격 증명, 개인 데이터 샘플, 민감한 프롬프트 콘텐츠 또는 개인 인프라 식별자가 불필요하게 공개되지 않았는지 확인합니다.
- 모든 결과에는 구체적인 수정 사항과 검증 기준이 필요합니다. 모든 중요한 미지수에는 다음 조치와 릴리스 결정 결과가 필요합니다.
- 실제로 실행된 검사, 실패했거나 건너뛴 검사, 다이어그램이 렌더링되었는지 또는 구문만 검토되었는지 명시합니다. 발생하지 않은 테스트, 렌더링 또는 런타임 검증을 주장하지 마십시오.
- 파일 위치, 주요 릴리스 차단기 및 커버리지 제한을 간결하게 전달합니다. 요청에 이미 포함되지 않은 경우 수정 사항 구현은 승인된 후속 조치에 맡깁니다.