网络安全

- CI/CD平台加固（GitHub Actions、GitLab CI、Jenkins、Tekton） - 流水线中的秘密管理 -…

- SBOM生成（CycloneDX、SPDX）和验证 - 直接和传递依赖（npm、pip、Maven、Go modules） -…

说明：评估软件供应链安全,涵盖第三方组件、开源依赖、CI/CD和供应商管理。 提示词： 你是一名供应链安全专家。请为以下组织设计评估： 组织：[填写 - 软件供应商 / SaaS…

- 覆盖率（扫描资产/总数） - 按严重性的漏洞密度 - SLA合规率 - 平均修复时间（MTTR） - 反复发现（回归） - 老化漏洞…

- 工单创建和分配 - 所有者识别和通知 - 预生产测试 - 部署和验证 - 风险关闭文档

- 严重：[如面向互联网7天、内部30天] - 高：[如30天] - 中：[如90天] - 低：[如180天或风险接受] - 紧急补丁流程 - 例外和风险接受流程

- 资产清单（动态、CMDB集成） - 扫描覆盖（网络、认证、代理、云） - 应用测试（SAST、DAST、SCA、DAST） - 云配置扫描 - 容器和IaC扫描

说明：漏洞管理程序设计,涵盖发现、优先级、修复SLA和度量。 提示词： 你是一名漏洞管理负责人。请为以下组织设计： 组织：[填写规模、行业] 范围：[填写 -…

- 上线工作流 - 访问请求和审批 - 访问重认证 - 审计和合规报告 每个组件请提供：设计决策、集成点、策略示例和指标。包含分阶段推广和用户采纳策略。

- 异常检测（非工作时间、异常命令） - 命令过滤和阻止 - 自动响应（会话终止） - 与SIEM和UEBA集成

- 会话录制和回放 - 实时监控和击键记录 - 会话隔离和代理 - RDP、SSH、数据库、Web会话类型

- 及时访问（限时检出） - 适量访问（基于角色、审批工作流） - 常驻vs临时特权 - 紧急访问（破窗程序）

- 特权账户发现和上线 - 本地管理员账户标准化 - 服务账户管理和轮换 - 云root/全局管理员保护 - 应用和DevOps秘密 - SSH密钥和证书

- 保险库和组件放置 - 高可用和灾难恢复 - 与身份提供者集成（SAML、OIDC） - 网络架构和分段

说明：特权访问管理(PAM)设计,涵盖密码保管、JIT访问、会话录制和审计。 提示词： 你是一名PAM架构师。请为以下组织设计： 组织：[填写 - 规模、行业]…

- 运行时保护（RASP、WAF） - 漏洞披露程序 - 按严重性的补丁SLA - 持续监控 每个阶段请提供：工具、集成、质量门、指标和所有权。包含SAMM评估和改进路线图。

- 安全签字流程 - SBOM生成和存储 - 签名产物 - 部署安全验证 - 回滚安全

- 流水线中的SAST（Semgrep、CodeQL、SonarQube） - 流水线中的SCA（Snyk、Dependabot、OSV） - DAST（ZAP、Burp…

- 威胁建模（按功能STRIDE） - 架构审查检查清单 - 加密选择指南 - 安全设计模式（认证、会话、输入验证）

- 安全需求模板（功能和非功能） - 合规可追溯矩阵 - 滥用案例开发 - 安全用户故事

说明：实施安全SDLC,涵盖需求、设计、开发、测试和发布。 提示词： 你是一名AppSec负责人。请为以下组织设计安全SDLC： 组织：[填写 - 规模、敏捷节奏、监管]…

- 常数时间比较 - 填充预言（CBC、PKCS#7） - IV/nonce重用 - 小密钥尺寸 - 代码中硬编码密钥 - 时序攻击 - 侧信道…

- CSPRNG使用 - 种子熵源 - 避免：Math.random、基于时间的种子 - 测试（NIST、Diehard）

- TLS配置（版本、密码、扩展） - 证书验证（pinning、链、撤销） - 自定义协议分析（不要自己造） - JWT实现（算法混淆、none、弱密钥）