● مجتمع
eth0izzle
⚡ فوري
security-skills
بواسطة eth0izzle · eth0izzle/security-skills
مهارات الأمان الدفاعي لـ Claude Code — نمذجة التهديدات، ومراجعة الإعدادات، وتدقيق المعتمدات. موجهة للفرق الدفاعية، وليست لمختبري الاختراق.
مجموعة من مهارات Claude Code موجهة للعمل الأمني الدفاعي: مراجعة سياسات IAM، والتحقق من أشجار المعتمدات بحثاً عن ثغرات معروفة، وإنتاج نماذج التهديدات للميزات الجديدة، وتدقيق ملفات Docker وبيانات k8s للأخطاء التكوينية الشائعة.
لماذا تستخدمه
الميزات الأساسية
- قالب نمذجة التهديدات بناءً على STRIDE
- سير عمل البحث عن CVEs في المعتمدات
- فحوصات سوء التكوين في البنية كرمز (Terraform وDocker وk8s)
- أنماط مراجعة الكود الأمني
- التركيز على الدفاع — بدون أدوات استغلال
عرض مباشر
كيف يبدو في الممارسة
security-skill.replay
▶ جاهز
حالات الاستخدام
استخدامات عملية: security-skills
متى تستخدمه: مراجعة التصميم لميزة تتعامل مع بيانات المستخدمين أو المصادقة أو الشبكات الخارجية.
الخطوات
-
استكشاف النظام
استخدم security-skills. إليك التصميم لـ [feature]. عدّد حدود الثقة وتدفقات البيانات.✓ تم النسخ
→ حدود ثقة مسماة وأسهم تدفق بيانات واضحة
-
تطبيق STRIDE
لكل حد، حدد مخاطر الانتحال والتعديل والتنصل والإفشاء والحرمان من الخدمة والترقية.✓ تم النسخ
→ جدول يصنف التهديدات وليس تعليقات عامة من قبيل 'ضع في الاعتبار XSS'
-
اقترح المعالجات
صنف التهديدات حسب الاحتمالية × التأثير واقترح معالجات محددة للأفضل 5.✓ تم النسخ
→ ضوابط محددة (حد التجاوز والطلبات الموقعة وسجل التدقيق)
النتيجة: وثيقة نموذج التهديدات جاهزة لاجتماع مراجعة الأمان.
المزالق
- يصبح STRIDE مجرد قوائم تحقق شكلية — اطلب قصصاً محددة للمهاجمين — 'المهاجم الذي يملك X يريد Y ويفعل Z'
متى تستخدمه: عندما يظهر CVE جديد وتحتاج إلى معرفة حيث أنت معرض.
الخطوات
-
أشر إلى ملف البيانات الوصفية
استخدم security-skills. دقق في package-lock.json عن المعتمدات التي تحتوي على ثغرات معروفة نُشرت في آخر 90 يوم.✓ تم النسخ
→ قائمة الحزم ومعرفات التنبيهات والخطورة
-
تصنيف حسب الاستخدام
لكل معتمد ضعيف، ابحث في الكود — هل يمكن الوصول إليه فعلاً؟✓ تم النسخ
→ تصنيف حسب إمكانية الوصول
-
صياغة خطة الترقية
خطط لترتيب الترقية بأقل مخاطر حتى لا ينكسر CI.✓ تم النسخ
→ تسلسل ترقية مرتب مع تحديد الإصدارات
النتيجة: خطة تصحيح محددة — وليس مجرد 'قم بتشغيل npm audit fix والدعاء'.
المزالق
- تم تفويت المعتمدات الانتقالية — استخدم ملف القفل الكامل وليس فقط ملف البيانات الوصفية العالي المستوى
متى تستخدمه: قبل دمج تغييرات البنية كرمز في main، أو تدقيق ما هو موجود بالفعل.
الخطوات
-
وجه Claude إلى مجلد البنية كرمز
استخدم security-skills. امسح terraform/ عن حاويات S3 بدون تشفير و IAM wildcards ومجموعات الأمان العامة.✓ تم النسخ
→ مراجع الملف والسطر مع مستوى الخطورة
-
احصل على الإصلاحات
لكل اكتشاف، اقترح الفرق الأدنى في Terraform لإصلاحه.✓ تم النسخ
→ أجزاء HCL توضح قبل وبعد
النتيجة: إصلاحات أمان بحجم PR يمكنك دمجها بشكل تدريجي.
المزالق
- موجبات خاطئة على الأصول العامة المقصودة — ضع علامات على الموارد التي هي عامة بقصد؛ يجب أن تتخطاها المهارة
التركيبات
اجمعها مع خوادم MCP أخرى لتحقيق نتائج x10
نشر النتائج كتعليقات PR تلقائياً
راجع هذا PR واترك تعليقات سطر لكل اكتشاف أمني.✓ تم النسخ
المسح العودي عبر monorepo
استكشف شجرة services/ كاملة وجمع النتائج حسب الخدمة.✓ تم النسخ
التكلفة والحدود
تكلفة التشغيل
- حصة API
- لا توجد مدمجة
- الرموز لكل استدعاء
- معتدل — يعتمد على الملفات المفحوصة
- التكلفة المالية
- مجاني
- نصيحة
- حدد نطاق الفحوصات على مجلدات محددة؛ لا تشير إلى node_modules.
الأمان
الصلاحيات والأسرار ونطاق الأثر
تخزين بيانات الاعتماد: لا يوجد في المهارة نفسها
نقل البيانات الخارجي: لا يوجد — المهارة عبارة عن طلبات فقط؛ لاحظ أن الكود المفحوص يذهب إلى Claude API
- دفاعي فقط. لا تستخدمه للاستغلال أو حصاد بيانات الاعتماد أو عمليات الفرق الحمراء.
- لا تلصق أسرار الإنتاج في الطلبات — حتى عند طلب من المهارة 'إيجادها'.
استكشاف الأخطاء
الأخطاء الشائعة وحلولها
المهارة تقترح تقنيات استغلال
أعد صياغة الطلب بإطار دفاعي: 'كمدافع، كيف أمنع X'
عدد كبير جداً من الموجبات الخاطئة في مسح البنية كرمز
قدم السياق (الإنتاج مقابل التجميع؛ الموارد العامة المقصودة)
تفويت ثغرة معروفة
قد يتأخر تاريخ قطع معرفة Claude. استخدم ماسح مناسب (Trivy أو Snyk) للحصول على بيانات CVE موثوقة.
البدائل
security-skills مقابل البدائل
| البديل | متى تستخدمها | المقايضة |
|---|
| Trivy / Grype | تحتاج إلى قاعدة بيانات ثغرات موثوقة ومحدثة | لا يوجد استدلال LLM — فقط نتيجة المسح الخام |
| tfsec / checkov | مسح محدد للبنية كرمز مع مجموعة قواعد منسقة | محدود بالقواعد؛ قد يفوت أخطاء تكوينية دقيقة |