网络安全

- 生成（CSPRNG、/dev/urandom、getrandom） - 存储（HSM、KMS、安全飞地、密钥保险库） - 轮换策略 - 销毁（加密擦除） -…

- 对称（AES-GCM、ChaCha20-Poly1305） - 非对称（RSA-OAEP、ECDSA、Ed25519） - 哈希（SHA-2、SHA-3、BLAKE3）…

说明：密码学实现审查,涵盖算法选择、密钥管理、协议实现和随机性。 提示词： 你是一名密码学审查员。请评估以下实现： 语言：[Python / Java / Go / Rust /…

- 基础设施即代码扫描（Checkov、tfsec、KICS） - 容器镜像扫描（Trivy、Grype、Snyk） - 配置漂移检测 - 部署验证（金丝雀、蓝绿）…

- 依赖验证（包签名、哈希固定） - 命名空间混淆检测 - 出处证明（SLSA） - 私有包代理/仓库

- Runner/agent隔离（自托管vs云、临时） - 流水线令牌最小权限 - 环境分离（开发/测试/生产） - 审批门和手动检查 - 流水线操作审计日志

- 源代码完整性（签名提交、分支保护） - 可重现构建 - 产物签名（Cosign、Sigstore、Notary） - SBOM生成（CycloneDX、SPDX） -…

- 秘密扫描（TruffleHog、GitLeaks、GitHub Advanced Security） - CI中的秘密存储（OIDC、短期令牌、无长期密钥） -…

说明：CI/CD流水线安全加固,涵盖密钥管理、构建验证和供应链防护。 提示词： 你是一名DevSecOps工程师。请加固： 流水线：[GitHub Actions /…

- 连接限制 - 请求体大小限制 - 超时配置 - SYN洪水保护（OS级）…

- 访问日志格式和字段 - 错误日志配置 - 日志轮转和保留 - 转发到SIEM

- 隐藏服务器版本（server_tokens off） - 禁用未用模块 - 限制HTTP方法 - 目录列表禁用 - 符号链接和路径遍历保护

- 速率限制 - IP允许/拒绝列表 - 认证（基本、mTLS、OAuth） - WAF集成（ModSecurity、Coraza）

- Content-Security-Policy - X-Frame-Options / frame-ancestors - X-Content-Type-Options…

- 协议版本（仅TLS 1.2/1.3） - 密码套件选择（Mozilla建议） - 证书管理（ACME、HSTS、OCSP装订） - 完美前向保密

说明：Web服务器加固,涵盖TLS配置、头设置、访问控制和日志。 提示词： 你是一名Web服务器管理员。请加固： 服务器：[Nginx / Apache / IIS /…

- 加密备份 - 备份测试 - 时间点恢复能力 - 备份访问控制 每个控制请提供：精确SQL/T-SQL/配置命令、预期状态、验证查询和未缓解的风险。包含自动化检查脚本。

- 禁用不必要功能 - 网络绑定（localhost vs 所有接口） - 连接限制和资源配额 - 临时文件和备份保护

- 静态（TDE、文件系统、云托管） - 传输（TLS配置、证书管理） - 列加密（Always Encrypted、pgcrypto） - 密钥管理（KMS、HSM）

- 最小权限原则（角色设计） - 行级安全 - 列级加密 - 存储过程权限

- 密码策略强制 - 支持的MFA（RADIUS集成） - 服务账户管理 - 登录触发器限制

说明：数据库安全加固,涵盖认证、授权、加密、审计和配置。 提示词： 你是一名数据库安全工程师。请加固以下数据库： 数据库：[PostgreSQL / MySQL / SQL…

- SELinux / AppArmor策略和强制 - 内核模块签名和限制 - cgroups和命名空间隔离 - 资源控制ulimits…

- 禁用不必要的服务 - 网络参数（IP转发、ICMP重定向、源路由） - 防火墙（firewalld、nftables、ufw） - TCP包装器（如适用）