Security Automation

Plan阶段:   威胁建模(STRIDE) → 安全需求 → 安全设计评审 → 攻击面分析
Code阶段:   IDE安全插件 → Pre-commit Hook(密钥/格式) → 代码审计(SAST)
Build阶段:  SAST → SCA → 依赖漏洞 → 许可证合规 → 构建产物签名
Test阶段:   DAST → IAST → 渗透测试 → Fuzzing → API安全测试
Deploy阶段: 容器扫描 → IaC审计 → 配置合规 → 供应链校验(SBOM)
Run阶段:    RASP → WAF → 运行时监控(Falco) → 漏洞管理 → 自动化应急响应

stages:
  - security-scan

sast:
  stage: security-scan
  image: semgrep/semgrep
  script:
    - semgrep --config=auto --json -o sast-results.json .
  artifacts:
    reports:
      sast: sast-results.json

dependency-scan:
  stage: security-scan
  image: aquasec/trivy
  script:
    - trivy fs --format json -o deps-results.json .

container-scan:
  stage: security-scan
  image: aquasec/trivy
  script:
    - trivy image --format json -o container-results.json $CI_REGISTRY_IMAGE

secret-scan:
  stage: security-scan
  image: zricethezav/gitleaks
  script:
    - gitleaks detect --source . --report-format json --report-path secrets.json

iac-scan:
  stage: security-scan
  image: bridgecrew/checkov
  script:
    - checkov -d terraform/ -o json > iac-results.json

# 门禁原则：扫描发现 X 级漏洞 → 阻断发布；Y 级漏洞 → 放行+缺陷登记+限时修复
# 示例：Semgrep 阻断严重级
if grep -q '"severity": "ERROR"' sast-results.json; then
  echo "检测到严重级SAST漏洞，阻断流水线"
  exit 1
fi

# 示例：Trivy 高危漏洞阈值阻断（支持 --exit-code --severity 直接内嵌）
trivy image --exit-code 1 --severity CRITICAL,HIGH --ignore-unfixed $IMAGE

# gitleaks pre-commit hook（提交即拦截）
#!/bin/sh
gitleaks protect --staged
if [ $? -ne 0 ]; then
  echo "检测到密钥泄露，提交被拒绝"
  exit 1
fi

# CI 全量扫描（含 Git 历史）
secret-scan:
  script:
    - gitleaks detect --source . --log-opts="--all"
    # 扫描所有 Git 历史，阻断合并请求

# 生成 SBOM（CycloneDX 格式）
syft dir:. -o cyclonedx-json > sbom.json
# 或 trivy
trivy fs --format cyclonedx -o sbom.json .

# 校验 SBOM 与镜像签名
cosign verify $IMAGE --certificate-identity $IDENTITY --certificate-oidc-issuer $ISSUER

# 依赖投毒防护：锁定版本 + hash 校验（npm/pip 等）
# package-lock.json / poetry.lock 强制提交，CI 校验 lock 文件未篡改

# K8s Pod 安全策略
package kubernetes.admission

deny[msg] {
    input.request.kind.kind == "Pod"
    container := input.request.object.spec.containers[_]
    container.securityContext.privileged == true
    msg := sprintf("容器 %v 不允许使用特权模式", [container.name])
}

deny[msg] {
    input.request.kind.kind == "Pod"
    container := input.request.object.spec.containers[_]
    not container.securityContext.runAsNonRoot
    msg := sprintf("容器 %v 必须以非root运行", [container.name])
}

# Docker CIS Benchmark
docker-bench-security

# K8s CIS Benchmark
kube-bench

# AWS CIS Benchmark
prowler --checks cis

# 云安全态势（GCP/Azure）
# scoutsuite / pacu 组合

# Conftest 测试任意配置
conftest test deployment.yaml -p policies/

1. 扫描发现 → 自动录入漏洞管理平台
2. 归一化 → 多扫描器结果统一格式（去重/去噪/合并同类）
3. 风险评估 → CVSS评分 × 资产权重 × 可利用性 = 优先级
4. 分配修复 → 按代码归属/资产负责人自动指派
5. 修复验证 → 自动复扫确认修复，闭环关闭
6. SLA跟踪 → 超时自动告警+升级
7. 定期报告 → 自动生成安全态势报告（周/月）

# 导入 Trivy 扫描结果
curl -X POST http://defectdojo/api/v2/import-scan/ \
  -H "Authorization: Token $TOKEN" \
  -F "scan_type=Trivy Scan" \
  -F "file=@trivy-results.json"

# 导入 Semgrep 结果
curl -X POST http://defectdojo/api/v2/import-scan/ \
  -H "Authorization: Token $TOKEN" \
  -F "scan_type=Semgrep JSON Report" \
  -F "file=@sast-results.json"

# 示例：基于日期的 SLA 升级脚本（伪代码）
for vuln in open_vulnerabilities:
    if vuln.severity == "critical" and vuln.age_days > 7:
        escalate(vuln, to="安全负责人", notify="IM/邮件")
    elif vuln.severity == "high" and vuln.age_days > 14:
        escalate(vuln, to="部门负责人")

CI流水线/调度器
  ├─ Semgrep(SAST) ──┐
  ├─ Trivy(SCA/镜像) ─┤→ 结果归一化 → DefectDojo/ThreadFix → 指派修复 → 复扫验证
  ├─ Nuclei(DAST) ───┤
  └─ Checkov(IaC) ───┘        ↑
                        回归/去重/加噪

# 单资产扫描
nuclei -u https://target.com -severity high,critical -jsonl -o nuclei.jsonl

# 资产列表批量扫描（并发控制，遵守授权）
nuclei -l targets.txt -c 20 -stats -jsonl -o nuclei.jsonl

# 指定模板分类
nuclei -u https://target.com -t cves/ -t exposures/ -t misconfiguration/

# 与漏洞平台联动：nuclei -jsonl 输出 → jq 提取 → 导入 DefectDojo
jq -c '{scan_type:"Nuclei Scan", ...}' nuclei.jsonl

# 将 nuclei JSONL → DefectDojo 期望字段（示意）
import json, sys
out = []
for line in sys.stdin:
    d = json.loads(line)
    out.append({
        "title": d.get("info", {}).get("name", d.get("template-id")),
        "severity": d.get("info", {}).get("severity", "info"),
        "cwe": (d.get("info", {}).get("classification") or {}).get("cwe-id", []),
        "description": d.get("info", {}).get("description", ""),
        "matched_at": d.get("matched-at"),
        "tags": d.get("info", {}).get("tags", []),
    })
print(json.dumps(out, ensure_ascii=False, indent=2))

# ZAP 全量扫描并出报告
docker run -t ghcr.io/zaproxy/zaproxy zap-baseline.py \
  -t https://target.com -r zap-report.html -J zap-report.json

# 结合 -x 导出 XML 供 DefectDojo "ZAP Scan" 类型导入

资产收集(子域/端口/指纹)
  → 攻击面分析(ASM: 公网暴露/影子资产)
  → 自动化漏洞探测(nuclei/自动化工具)
  → 漏洞验证(exploit-validated: 起 PoC 确认可利用性)
  → 打点成功 → 建立据点 → 横向扩展

# 打点自动化示例（仅授权环境）
# 1) 子域枚举
subfinder -d target.com -all -silent | sort -u > subs.txt
# 2) 存活探测
httpx -l subs.txt -silent -title -status-code -tech-detect -o alive.txt
# 3) 指纹/资产测绘（httpx 探测技术栈，nuclei -tech-detect 亦可）
httpx -l alive.txt -tech-detect -silent | tee -a tech.txt
# 4) 定向漏洞验证
nuclei -l alive.txt -t cves/ -t exposures/ -severity critical,high
# 5) 结果入库 + 人工/LLM 研判 → 确认可利用目标

检测(SIEM/EDR/NDR 规则+行为分析)
  → 告警聚合/降噪(去重/关联/LLM triage)
  → 自动化调查(资产上下文/威胁情报/TTP映射)
  → 自动化响应(隔离/封禁/撤销会话 —— 高危动作 HITL)
  → 复盘与检测工程(规则调优/新规则生成)

# 示例：EDR/SIEM 告警 → 自动化处置脚本（示意）
# 1) 提取 IOC
# 2) 威胁情报查询（VirusTotal/AbuseIPDB/MISP）
# 3) 命中规则 → 隔离主机 / 封禁 IP / 撤销 Token
# 4) 全自动动作需白名单+审批闸门

# Atomic Red Team（红蓝共用检测验证）
git clone https://github.com/redcanaryco/atomic-red-team
# 执行单一 ATT&CK 技术（模拟 T1059.001 PowerShell）
powershell -ExecutionPolicy Bypass -File ./atomics/T1059.001/T1059.001.yaml  # 或对应执行脚本

# MITRE CALDERA（自主对抗模拟平台）
# 部署 server + agent，按操作计划自动化演练

# 商业替代：SafeBreach / AttackIQ / Picus —— 持续验证检测覆盖率

红队自动化发现 → 证据包(复现步骤+PoC) → 漏洞平台登记
                              ↓
蓝队检测规则(以红队 TTP 为样本生成) → 攻击模拟验证 → 上线
                              ↓
复测闭环：下轮红队验证新规则是否拦截 → 覆盖率持续提升

编排层(Orchestration): API 连接 SIEM/EDR/身份/邮件/防火墙/威胁情报
自动化层(Automation):  剧本执行引擎（全自动/半自动/手动）
响应层(Response):      案件管理、告警队列、处置动作、审计留痕

# 暴力破解调查剧本（示意，YAML 化描述）
name: brute-force-investigation
trigger: SIEM 告警 "Multiple Failed Logins"
steps:
  - action: 查询来源IP威胁情报(AbuseIPDB/MISP)
  - action: 查询账号最近登录记录
  - action: 查询资产关键性(CMDB)
  - if: IP信誉=恶意 AND 账号=特权
    then: [隔离主机(HITL审批), 封禁IP, 禁用账号, 通知安全负责人]
  - else: [打标"预期行为", 关闭案件]
  - action: 生成案件报告与证据快照

用户指令(自然语言) → Agent规划(拆解任务) → 工具调用(nuclei/子域/指纹/查漏洞库)
  → 结果分析 → 下一步决策(扩大范围/验证/跳过) → 输出结构化报告

# Agent 工具调用示意（LangChain/CrewAI 风格）
from langchain.tools import tool

@tool
def run_nuclei(target: str, severity: str = "high") -> str:
    """对目标执行 nuclei 扫描，返回 JSONL 结果"""
    # 实际实现：subprocess 调用 nuclei，解析输出
    ...

@tool
def lookup_cve(cve_id: str) -> str:
    """查询 CVE 详情与 PoC 信息"""
    ...

# Agent 循环：plan → act → observe → re-plan

告警进入 → Agent调查(查日志/查资产/查威胁情报) → 形成结论(严重度+置信度)
  → 分级响应：
     低危/确定误报 → 自动关闭(附理由)
     中危 → 转人工队列(附调查摘要)
     高危 → 隔离/封禁(需HITL审批) + 生成报告

Layer1 规则过滤:  确定性规则滤掉 90-95% 明确良性事件(健康检查/CI账号/计划任务)
Layer2 LLM Triage: 富化后的告警 → LLM 结构化判定(benign/suspicious/malicious + 置信度 + 理由)
Layer3 分级响应:   高危自动遏制 / 中危转人工 / 低危记录趋势

# LLM Triage 结构化输出（示意）
from pydantic import BaseModel
from enum import Enum

class Disposition(str, Enum):
    ESCALATE = "escalate"; MONITOR = "monitor"; CLOSE = "close"

class TriageResult(BaseModel):
    severity: str          # critical/high/medium/low/info
    disposition: Disposition
    confidence: float      # 0-1，低于阈值不自动动作
    reasoning: str         # 一段结论性理由
    recommended_actions: list[str]
    false_positive_indicators: list[str]  # 支撑"关闭"判定的证据