senior-security

Compare original and translation side by side

🇺🇸

Original

English

🇨🇳

Translation

Chinese

Senior Security Engineer

高级安全工程师

Security engineering tools for threat modeling, vulnerability analysis, secure architecture design, and penetration testing.

面向威胁建模、漏洞分析、安全架构设计和渗透测试的安全工程工具。

Threat Modeling Workflow

威胁建模工作流

Identify and analyze security threats using STRIDE methodology.

使用STRIDE方法论识别并分析安全威胁。

Workflow: Conduct Threat Model

工作流：开展威胁建模

Define system scope and boundaries:
- Identify assets to protect
- Map trust boundaries
- Document data flows
Create data flow diagram:
- External entities (users, services)
- Processes (application components)
- Data stores (databases, caches)
- Data flows (APIs, network connections)
Apply STRIDE to each DFD element:
- Spoofing: Can identity be faked?
- Tampering: Can data be modified?
- Repudiation: Can actions be denied?
- Information Disclosure: Can data leak?
- Denial of Service: Can availability be affected?
- Elevation of Privilege: Can access be escalated?
Score risks using DREAD:
- Damage potential (1-10)
- Reproducibility (1-10)
- Exploitability (1-10)
- Affected users (1-10)
- Discoverability (1-10)
Prioritize threats by risk score
Define mitigations for each threat
Document in threat model report
Validation: All DFD elements analyzed; STRIDE applied; threats scored; mitigations mapped

定义系统范围与边界：
- 识别需要保护的资产
- 绘制信任边界
- 记录数据流
创建数据流图（DFD）：
- 外部实体（用户、服务）
- 流程（应用组件）
- 数据存储（数据库、缓存）
- 数据流（API、网络连接）
对每个DFD元素应用STRIDE分析：
- 仿冒（Spoofing）：身份是否可伪造？
- 篡改（Tampering）：数据是否可被修改？
- 抵赖（Repudiation）：操作是否可被否认？
- 信息泄露（Information Disclosure）：数据是否会泄露？
- 拒绝服务（Denial of Service）：可用性是否会受影响？
- 权限提升（Elevation of Privilege）：访问权限是否可被提升？
使用DREAD模型为风险评分：
- 潜在损害（1-10）
- 可复现性（1-10）
- 可利用性（1-10）
- 受影响用户数（1-10）
- 可发现性（1-10）
根据风险分数对威胁排序
为每个威胁定义缓解措施
记录到威胁建模报告中
验证标准：所有DFD元素已分析；已应用STRIDE；威胁已评分；已映射缓解措施

STRIDE Threat Categories

STRIDE威胁类别

Category	Description	Security Property	Mitigation Focus
Spoofing	Impersonating users or systems	Authentication	MFA, certificates, strong auth
Tampering	Modifying data or code	Integrity	Signing, checksums, validation
Repudiation	Denying actions	Non-repudiation	Audit logs, digital signatures
Information Disclosure	Exposing data	Confidentiality	Encryption, access controls
Denial of Service	Disrupting availability	Availability	Rate limiting, redundancy
Elevation of Privilege	Gaining unauthorized access	Authorization	RBAC, least privilege

类别	描述	安全属性	缓解重点
仿冒	冒充用户或系统	身份认证	多因素认证（MFA）、证书、强认证机制
篡改	修改数据或代码	完整性	签名、校验和、验证机制
抵赖	否认已执行的操作	不可抵赖性	审计日志、数字签名
信息泄露	泄露敏感数据	保密性	加密、访问控制
拒绝服务	破坏系统可用性	可用性	速率限制、冗余机制
权限提升	获取未授权访问权限	授权	基于角色的访问控制（RBAC）、最小权限原则

STRIDE per Element Matrix

各DFD元素的STRIDE适用矩阵

DFD Element	S	T	R	I	D	E
External Entity	X		X
Process	X	X	X	X	X	X
Data Store		X	X	X	X
Data Flow		X		X	X

See: references/threat-modeling-guide.md

DFD元素	S	T	R	I	D	E
外部实体	X		X
流程	X	X	X	X	X	X
数据存储		X	X	X	X
数据流		X		X	X

参考：references/threat-modeling-guide.md

Security Architecture Workflow

安全架构工作流

Design secure systems using defense-in-depth principles.

使用纵深防御原则设计安全系统。

Workflow: Design Secure Architecture

工作流：设计安全架构

Define security requirements:
- Compliance requirements (GDPR, HIPAA, PCI-DSS)
- Data classification (public, internal, confidential, restricted)
- Threat model inputs
Apply defense-in-depth layers:
- Perimeter: WAF, DDoS protection, rate limiting
- Network: Segmentation, IDS/IPS, mTLS
- Host: Patching, EDR, hardening
- Application: Input validation, authentication, secure coding
- Data: Encryption at rest and in transit
Implement Zero Trust principles:
- Verify explicitly (every request)
- Least privilege access (JIT/JEA)
- Assume breach (segment, monitor)
Configure authentication and authorization:
- Identity provider selection
- MFA requirements
- RBAC/ABAC model
Design encryption strategy:
- Key management approach
- Algorithm selection
- Certificate lifecycle
Plan security monitoring:
- Log aggregation
- SIEM integration
- Alerting rules
Document architecture decisions
Validation: Defense-in-depth layers defined; Zero Trust applied; encryption strategy documented; monitoring planned

定义安全需求：
- 合规要求（GDPR、HIPAA、PCI-DSS）
- 数据分类（公开、内部、机密、受限）
- 威胁建模输入
应用纵深防御层级：
- 边界层：Web应用防火墙（WAF）、DDoS防护、速率限制
- 网络层：网络分段、入侵检测/防御系统（IDS/IPS）、双向TLS（mTLS）
- 主机层：补丁管理、终端检测与响应（EDR）、系统加固
- 应用层：输入验证、身份认证、安全编码
- 数据层：静态与传输中数据加密
实施零信任原则：
- 持续验证（每个请求都需验证）
- 最小权限访问（JIT/JEA）
- 假设已被入侵（分段、监控）
配置身份认证与授权：
- 身份提供商选择
- MFA要求
- RBAC/ABAC模型
设计加密策略：
- 密钥管理方案
- 算法选择
- 证书生命周期管理
规划安全监控：
- 日志聚合
- 安全信息与事件管理（SIEM）集成
- 告警规则
记录架构决策
验证标准：已定义纵深防御层级；已应用零信任原则；已记录加密策略；已规划监控方案

Defense-in-Depth Layers

纵深防御层级

Layer 1: PERIMETER
  WAF, DDoS mitigation, DNS filtering, rate limiting

Layer 2: NETWORK
  Segmentation, IDS/IPS, network monitoring, VPN, mTLS

Layer 3: HOST
  Endpoint protection, OS hardening, patching, logging

Layer 4: APPLICATION
  Input validation, authentication, secure coding, SAST

Layer 5: DATA
  Encryption at rest/transit, access controls, DLP, backup

Layer 1: PERIMETER
  WAF, DDoS mitigation, DNS filtering, rate limiting

Layer 2: NETWORK
  Segmentation, IDS/IPS, network monitoring, VPN, mTLS

Layer 3: HOST
  Endpoint protection, OS hardening, patching, logging

Layer 4: APPLICATION
  Input validation, authentication, secure coding, SAST

Layer 5: DATA
  Encryption at rest/transit, access controls, DLP, backup

Authentication Pattern Selection

身份认证模式选择

Use Case	Recommended Pattern
Web application	OAuth 2.0 + PKCE with OIDC
API authentication	JWT with short expiration + refresh tokens
Service-to-service	mTLS with certificate rotation
CLI/Automation	API keys with IP allowlisting
High security	FIDO2/WebAuthn hardware keys

See: references/security-architecture-patterns.md

用例	推荐模式
Web应用	OAuth 2.0 + PKCE 搭配 OIDC
API身份认证	短过期时间JWT + 刷新令牌
服务间认证	带证书轮换的mTLS
CLI/自动化	带IP白名单的API密钥
高安全场景	FIDO2/WebAuthn硬件密钥

参考：references/security-architecture-patterns.md

Vulnerability Assessment Workflow

漏洞评估工作流

Identify and remediate security vulnerabilities in applications.

识别并修复应用中的安全漏洞。

Workflow: Conduct Vulnerability Assessment

工作流：开展漏洞评估

Define assessment scope:
- In-scope systems and applications
- Testing methodology (black box, gray box, white box)
- Rules of engagement
Gather information:
- Technology stack inventory
- Architecture documentation
- Previous vulnerability reports
Perform automated scanning:
- SAST (static analysis)
- DAST (dynamic analysis)
- Dependency scanning
- Secret detection
Conduct manual testing:
- Business logic flaws
- Authentication bypass
- Authorization issues
- Injection vulnerabilities
Classify findings by severity:
- Critical: Immediate exploitation risk
- High: Significant impact, easier to exploit
- Medium: Moderate impact or difficulty
- Low: Minor impact
Develop remediation plan:
- Prioritize by risk
- Assign owners
- Set deadlines
Verify fixes and document
Validation: Scope defined; automated and manual testing complete; findings classified; remediation tracked

定义评估范围：
- 纳入范围的系统与应用
- 测试方法（黑盒、灰盒、白盒）
- 参与规则
收集信息：
- 技术栈清单
- 架构文档
- 历史漏洞报告
执行自动化扫描：
- 静态应用安全测试（SAST）
- 动态应用安全测试（DAST）
- 依赖扫描
- 密钥检测
开展手动测试：
- 业务逻辑缺陷
- 身份认证绕过
- 授权问题
- 注入漏洞
按严重程度分类发现的问题：
- 关键：可被立即利用的风险
- 高：影响重大，易被利用
- 中：影响中等或利用难度较高
- 低：影响轻微
制定修复计划：
- 按风险优先级排序
- 分配负责人
- 设置截止日期
验证修复并记录
验证标准：已定义范围；自动化与手动测试已完成；发现的问题已分类；修复进度已跟踪

OWASP Top 10 Mapping

OWASP Top 10 映射

Rank	Vulnerability	Testing Approach
A01	Broken Access Control	Manual IDOR testing, authorization checks
A02	Cryptographic Failures	Algorithm review, key management audit
A03	Injection	SAST + manual payload testing
A04	Insecure Design	Threat modeling, architecture review
A05	Security Misconfiguration	Configuration audit, CIS benchmarks
A06	Vulnerable Components	Dependency scanning, CVE monitoring
A07	Authentication Failures	Password policy, session management review
A08	Software/Data Integrity	CI/CD security, code signing verification
A09	Logging Failures	Log review, SIEM configuration check
A10	SSRF	Manual URL manipulation testing

排名	漏洞	测试方法
A01	访问控制失效	手动IDOR测试、授权检查
A02	加密失败	算法审查、密钥管理审计
A03	注入	SAST + 手动载荷测试
A04	不安全设计	威胁建模、架构审查
A05	安全配置错误	配置审计、CIS基准检查
A06	易受攻击的组件	依赖扫描、CVE监控
A07	身份认证失败	密码策略、会话管理审查
A08	软件/数据完整性问题	CI/CD安全、代码签名验证
A09	日志记录失败	日志审查、SIEM配置检查
A10	服务器端请求伪造（SSRF）	手动URL操纵测试

Vulnerability Severity Matrix

漏洞严重程度矩阵

Impact / Exploitability	Easy	Moderate	Difficult
Critical	Critical	Critical	High
High	Critical	High	Medium
Medium	High	Medium	Low
Low	Medium	Low	Low

影响 / 可利用性	易	中等	难
关键	关键	关键	高
高	关键	高	中
中	高	中	低
低	中	低	低

Secure Code Review Workflow

安全代码审查工作流

Review code for security vulnerabilities before deployment.

在部署前审查代码中的安全漏洞。

Workflow: Conduct Security Code Review

工作流：开展安全代码审查

Establish review scope:
- Changed files and functions
- Security-sensitive areas (auth, crypto, input handling)
- Third-party integrations
Run automated analysis:
- SAST tools (Semgrep, CodeQL, Bandit)
- Secret scanning
- Dependency vulnerability check
Review authentication code:
- Password handling (hashing, storage)
- Session management
- Token validation
Review authorization code:
- Access control checks
- RBAC implementation
- Privilege boundaries
Review data handling:
- Input validation
- Output encoding
- SQL query construction
- File path handling
Review cryptographic code:
- Algorithm selection
- Key management
- Random number generation
Document findings with severity
Validation: Automated scans passed; auth/authz reviewed; data handling checked; crypto verified; findings documented

确定审查范围：
- 变更的文件与函数
- 安全敏感区域（认证、加密、输入处理）
- 第三方集成
运行自动化分析：
- SAST工具（Semgrep、CodeQL、Bandit）
- 密钥扫描
- 依赖漏洞检查
审查身份认证代码：
- 密码处理（哈希、存储）
- 会话管理
- 令牌验证
审查授权代码：
- 访问控制检查
- RBAC实现
- 权限边界
审查数据处理代码：
- 输入验证
- 输出编码
- SQL查询构建
- 文件路径处理
审查加密代码：
- 算法选择
- 密钥管理
- 随机数生成
记录带严重程度的发现
验证标准：自动化扫描已通过；认证/授权已审查；数据处理已检查；加密已验证；发现已记录

Security Code Review Checklist

安全代码审查检查清单

Category	Check	Risk
Input Validation	All user input validated and sanitized	Injection
Output Encoding	Context-appropriate encoding applied	XSS
Authentication	Passwords hashed with Argon2/bcrypt	Credential theft
Session	Secure cookie flags set (HttpOnly, Secure, SameSite)	Session hijacking
Authorization	Server-side permission checks on all endpoints	Privilege escalation
SQL	Parameterized queries used exclusively	SQL injection
File Access	Path traversal sequences rejected	Path traversal
Secrets	No hardcoded credentials or keys	Information disclosure
Dependencies	Known vulnerable packages updated	Supply chain
Logging	Sensitive data not logged	Information disclosure

类别	检查项	风险
输入验证	所有用户输入已验证与清理	注入攻击
输出编码	已应用上下文适配的编码	XSS攻击
身份认证	密码使用Argon2/bcrypt哈希	凭证窃取
会话	已设置安全Cookie标记（HttpOnly、Secure、SameSite）	会话劫持
授权	所有端点已执行服务器端权限检查	权限提升
SQL	仅使用参数化查询	SQL注入
文件访问	已拒绝路径遍历序列	路径遍历攻击
密钥	无硬编码凭证或密钥	信息泄露
依赖	已知漏洞包已更新	供应链攻击
日志	未记录敏感数据	信息泄露

Secure vs Insecure Patterns

安全与不安全模式对比

Pattern	Issue	Secure Alternative
SQL string formatting	SQL injection	Use parameterized queries with placeholders
Shell command building	Command injection	Use subprocess with argument lists, no shell
Path concatenation	Path traversal	Validate and canonicalize paths
MD5/SHA1 for passwords	Weak hashing	Use Argon2id or bcrypt
Math.random for tokens	Predictable values	Use crypto.getRandomValues

模式	问题	安全替代方案
SQL字符串格式化	SQL注入	使用带占位符的参数化查询
Shell命令构建	命令注入	使用带参数列表的subprocess，不调用shell
路径拼接	路径遍历	验证并规范化路径
MD5/SHA1用于密码	弱哈希	使用Argon2id或bcrypt
Math.random生成令牌	值可预测	使用crypto.getRandomValues

Incident Response Workflow

事件响应工作流

Respond to and contain security incidents.

响应并遏制安全事件。

Workflow: Handle Security Incident

工作流：处理安全事件

Identify and triage:
- Validate incident is genuine
- Assess initial scope and severity
- Activate incident response team
Contain the threat:
- Isolate affected systems
- Block malicious IPs/accounts
- Disable compromised credentials
Eradicate root cause:
- Remove malware/backdoors
- Patch vulnerabilities
- Update configurations
Recover operations:
- Restore from clean backups
- Verify system integrity
- Monitor for recurrence
Conduct post-mortem:
- Timeline reconstruction
- Root cause analysis
- Lessons learned
Implement improvements:
- Update detection rules
- Enhance controls
- Update runbooks
Document and report
Validation: Threat contained; root cause eliminated; systems recovered; post-mortem complete; improvements implemented

识别与分类：
- 验证事件是否真实
- 评估初始范围与严重程度
- 启动事件响应团队
遏制威胁：
- 隔离受影响系统
- 阻止恶意IP/账户
- 禁用已泄露凭证
根除根本原因：
- 移除恶意软件/后门
- 修复漏洞
- 更新配置
恢复运营：
- 从干净备份恢复
- 验证系统完整性
- 监控是否复发
开展事后复盘：
- 重建时间线
- 根本原因分析
- 经验总结
实施改进措施：
- 更新检测规则
- 增强控制措施
- 更新运行手册
记录与报告
验证标准：威胁已遏制；根本原因已消除；系统已恢复；事后复盘已完成；改进措施已实施

Incident Severity Levels

事件严重程度等级

Level	Description	Response Time	Escalation
P1 - Critical	Active breach, data exfiltration	Immediate	CISO, Legal, Executive
P2 - High	Confirmed compromise, contained	1 hour	Security Lead, IT Director
P3 - Medium	Potential compromise, under investigation	4 hours	Security Team
P4 - Low	Suspicious activity, low impact	24 hours	On-call engineer

等级	描述	响应时间	升级对象
P1 - 关键	正在发生的数据泄露、数据外渗	立即响应	CISO、法务、高管
P2 - 高	已确认的入侵，已被遏制	1小时内	安全负责人、IT总监
P3 - 中	潜在入侵，正在调查	4小时内	安全团队
P4 - 低	可疑活动，影响轻微	24小时内	值班工程师

Incident Response Checklist

事件响应检查清单

Phase	Actions
Identification	Validate alert, assess scope, determine severity
Containment	Isolate systems, preserve evidence, block access
Eradication	Remove threat, patch vulnerabilities, reset credentials
Recovery	Restore services, verify integrity, increase monitoring
Lessons Learned	Document timeline, identify gaps, update procedures

阶段	行动
识别	验证告警、评估范围、确定严重程度
遏制	隔离系统、保存证据、阻止访问
根除	移除威胁、修复漏洞、重置凭证
恢复	恢复服务、验证完整性、增强监控
经验总结	记录时间线、识别差距、更新流程

Security Tools Reference

安全工具参考

Recommended Security Tools

Category	Tools
SAST	Semgrep, CodeQL, Bandit (Python), ESLint security plugins
DAST	OWASP ZAP, Burp Suite, Nikto
Dependency Scanning	Snyk, Dependabot, npm audit, pip-audit
Secret Detection	GitLeaks, TruffleHog, detect-secrets
Container Security	Trivy, Clair, Anchore
Infrastructure	Checkov, tfsec, ScoutSuite
Network	Wireshark, Nmap, Masscan
Penetration	Metasploit, sqlmap, Burp Suite Pro

类别	工具
SAST	Semgrep、CodeQL、Bandit（Python）、ESLint安全插件
DAST	OWASP ZAP、Burp Suite、Nikto
依赖扫描	Snyk、Dependabot、npm audit、pip-audit
密钥检测	GitLeaks、TruffleHog、detect-secrets
容器安全	Trivy、Clair、Anchore
基础设施	Checkov、tfsec、ScoutSuite
网络	Wireshark、Nmap、Masscan
渗透测试	Metasploit、sqlmap、Burp Suite Pro

Cryptographic Algorithm Selection

加密算法选择

Use Case	Algorithm	Key Size
Symmetric encryption	AES-256-GCM	256 bits
Password hashing	Argon2id	N/A (use defaults)
Message authentication	HMAC-SHA256	256 bits
Digital signatures	Ed25519	256 bits
Key exchange	X25519	256 bits
TLS	TLS 1.3	N/A

See: references/cryptography-implementation.md

用例	算法	密钥长度
对称加密	AES-256-GCM	256位
密码哈希	Argon2id	无（使用默认配置）
消息认证	HMAC-SHA256	256位
数字签名	Ed25519	256位
密钥交换	X25519	256位
TLS	TLS 1.3	无

参考：references/cryptography-implementation.md

Tools and References

工具与参考资料

Scripts

脚本

Script	Purpose	Usage
threat_modeler.py	STRIDE threat analysis with risk scoring	`python threat_modeler.py --component "Authentication"`
secret_scanner.py	Detect hardcoded secrets and credentials	`python secret_scanner.py /path/to/project`

Threat Modeler Features:

STRIDE analysis for any system component
DREAD risk scoring
Mitigation recommendations
JSON and text output formats
Interactive mode for guided analysis

Secret Scanner Features:

Detects AWS, GCP, Azure credentials
Finds API keys and tokens (GitHub, Slack, Stripe)
Identifies private keys and passwords
Supports 20+ secret patterns
CI/CD integration ready

脚本	用途	使用方法
threat_modeler.py	带风险评分的STRIDE威胁分析	`python threat_modeler.py --component "Authentication"`
secret_scanner.py	检测硬编码密钥与凭证	`python secret_scanner.py /path/to/project`

威胁建模器特性：

对任意系统组件进行STRIDE分析
DREAD风险评分
缓解措施建议
JSON与文本输出格式
交互式引导分析模式

密钥扫描器特性：

检测AWS、GCP、Azure凭证
查找API密钥与令牌（GitHub、Slack、Stripe）
识别私钥与密码
支持20+种密钥模式
可集成到CI/CD

References

参考资料

Document	Content
security-architecture-patterns.md	Zero Trust, defense-in-depth, authentication patterns, API security
threat-modeling-guide.md	STRIDE methodology, attack trees, DREAD scoring, DFD creation
cryptography-implementation.md	AES-GCM, RSA, Ed25519, password hashing, key management

文档	内容
security-architecture-patterns.md	零信任、纵深防御、身份认证模式、API安全
threat-modeling-guide.md	STRIDE方法论、攻击树、DREAD评分、DFD创建
cryptography-implementation.md	AES-GCM、RSA、Ed25519、密码哈希、密钥管理

Security Standards Reference

安全标准参考

Compliance Frameworks

合规框架

Framework	Focus	Applicable To
OWASP ASVS	Application security	Web applications
CIS Benchmarks	System hardening	Servers, containers, cloud
NIST CSF	Risk management	Enterprise security programs
PCI-DSS	Payment card data	Payment processing
HIPAA	Healthcare data	Healthcare applications
SOC 2	Service organization controls	SaaS providers

框架	重点	适用对象
OWASP ASVS	应用安全	Web应用
CIS基准	系统加固	服务器、容器、云环境
NIST CSF	风险管理	企业安全项目
PCI-DSS	支付卡数据	支付处理系统
HIPAA	医疗数据	医疗应用
SOC 2	服务组织控制	SaaS提供商

Security Headers Checklist

安全头检查清单

Header	Recommended Value
Content-Security-Policy	default-src self; script-src self
X-Frame-Options	DENY
X-Content-Type-Options	nosniff
Strict-Transport-Security	max-age=31536000; includeSubDomains
Referrer-Policy	strict-origin-when-cross-origin
Permissions-Policy	geolocation=(), microphone=(), camera=()

头字段	推荐值
Content-Security-Policy	default-src self; script-src self
X-Frame-Options	DENY
X-Content-Type-Options	nosniff
Strict-Transport-Security	max-age=31536000; includeSubDomains
Referrer-Policy	strict-origin-when-cross-origin
Permissions-Policy	geolocation=(), microphone=(), camera=()

Skill	Integration Point
senior-devops	CI/CD security, infrastructure hardening
senior-secops	Security monitoring, incident response
senior-backend	Secure API development
senior-architect	Security architecture decisions

技能	集成点
senior-devops	CI/CD安全、基础设施加固
senior-secops	安全监控、事件响应
senior-backend	安全API开发
senior-architect	安全架构决策