security-scanning-security-hardening

Implemente um endurecimento de segurança abrangente com estratégia de defesa em profundidade através de orquestração coordenada de múltiplos agentes:

[Pensamento expandido: Este fluxo de trabalho implementa uma estratégia de segurança de defesa em profundidade em todas as camadas da aplicação. Ele coordena agentes de segurança especializados para realizar avaliações abrangentes, implementar controles de segurança em camadas e estabelecer monitoramento contínuo de segurança. A abordagem segue os princípios modernos de DevSecOps com segurança "shift-left", varredura automatizada e validação de conformidade. Cada fase se baseia em descobertas anteriores para criar uma postura de segurança resiliente que aborda tanto vulnerabilidades atuais quanto ameaças futuras.]

Use esta habilidade quando

• Executando um programa coordenado de endurecimento de segurança
• Estabelecendo controles de defesa em profundidade em aplicações, infraestrutura e CI/CD
• Priorizando a remediação de varreduras e modelagem de ameaças

Não use esta habilidade quando

• Você precisa apenas de uma varredura rápida sem trabalho de remediação
• Você não tem autorização para testes de segurança ou alterações
• O ambiente não tolera controles de segurança invasivos

Instruções

1. Execute a Fase 1 para estabelecer uma linha de base de segurança.
2. Aplique as remediações da Fase 2 para problemas de alto risco.
3. Implemente os controles da Fase 3 e valide as defesas.
4. Conclua a validação da Fase 4 e as verificações de conformidade.

Segurança

• Evite testes intrusivos em produção sem aprovação.
• Garanta que existam planos de reversão antes das alterações de endurecimento.

Fase 1: Avaliação Abrangente de Segurança

1. Varredura Inicial de Vulnerabilidades

• Use a ferramenta Task com subagent_type="security-auditor"
• Prompt: "Realize uma avaliação de segurança abrangente em: $ARGUMENTS. Execute análise SAST com Semgrep/SonarQube, varredura DAST com OWASP ZAP, auditoria de dependências com Snyk/Trivy, detecção de segredos com GitLeaks/TruffleHog. Gere SBOM para análise da cadeia de suprimentos. Identifique vulnerabilidades OWASP Top 10, fraquezas CWE e exposições CVE."
• Saída: Relatório detalhado de vulnerabilidades com pontuações CVSS, análise de explorabilidade, mapeamento da superfície de ataque, relatório de exposição de segredos, inventário SBOM
• Contexto: Linha de base inicial para todos os esforços de remediação

2. Modelagem de Ameaças e Análise de Risco

• Use a ferramenta Task com subagent_type="security-auditor"
• Prompt: "Conduza modelagem de ameaças usando a metodologia STRIDE para: $ARGUMENTS. Analise vetores de ataque, crie árvores de ataque, avalie o impacto nos negócios das vulnerabilidades identificadas. Mapeie ameaças para o framework MITRE ATT&CK. Priorize riscos com base na probabilidade e impacto."
• Saída: Diagramas de modelo de ameaças, matriz de risco com vulnerabilidades priorizadas, documentação de cenários de ataque, análise de impacto nos negócios
• Contexto: Usa resultados de varredura de vulnerabilidades para informar prioridades de ameaças

3. Revisão de Segurança da Arquitetura

• Use a ferramenta Task com subagent_type="backend-api-security::backend-architect"
• Prompt: "Revise a arquitetura em busca de fraquezas de segurança em: $ARGUMENTS. Avalie limites de serviço, segurança do fluxo de dados, arquitetura de autenticação/autorização, implementação de criptografia, segmentação de rede. Projete padrões de arquitetura zero-trust. Referencie o modelo de ameaças e as descobertas de vulnerabilidades."
• Saída: Avaliação de arquitetura de segurança, recomendações de design zero-trust, requisitos de segurança de malha de serviço, matriz de classificação de dados
• Contexto: Incorpora o modelo de ameaças para abordar vulnerabilidades arquitetônicas

Fase 2: Remediação de Vulnerabilidades

4. Correções de Vulnerabilidades Críticas

• Use a ferramenta Task com subagent_type="security-auditor"
• Prompt: "Coordene a remediação imediata de vulnerabilidades críticas (CVSS 7+) em: $ARGUMENTS. Corrija injeções SQL com consultas parametrizadas, XSS com codificação de saída, bypass de autenticação com gerenciamento seguro de sessão, desserialização insegura com validação de entrada. Aplique patches de segurança para CVEs."
• Saída: Código corrigido com correções de vulnerabilidades, documentação de patches de segurança, requisitos de teste de regressão
• Contexto: Aborda itens de alta prioridade da avaliação de vulnerabilidades

5. Endurecimento de Segurança de Backend

• Use a ferramenta Task com subagent_type="backend-api-security::backend-security-coder"
• Prompt: "Implemente controles de segurança de backend abrangentes para: $ARGUMENTS. Adicione validação de entrada com OWASP ESAPI, implemente limitação de taxa e proteção contra DDoS, proteja endpoints de API com validação OAuth2/JWT, adicione criptografia para dados em repouso/trânsito usando AES-256/TLS 1.3. Implemente log seguro sem exposição de PII."
• Saída: Endpoints de API endurecidos, middleware de validação, implementação de criptografia, modelos de configuração segura

…