Security Audit Skill — плагин
Навык проверки безопасности по OWASP Top 10, CWE и CVSS с глубоким сканированием PHP и TYPO3 по 80 с лишним контрольным точкам.
- 53 ★ репозитория
- Последний коммит
Расширенный доступ
Почему такой уровень
- Скрипты-сканеры и хук запускаются на машине пользователя.
- Проверка репозитория на GitHub использует доступ к настройкам проекта.
Установка
- Работает в
Ручная установка
/plugin marketplace add netresearch/claude-code-marketplaceЗатем `/plugin install security-audit@netresearch-claude-code-marketplace`.
Доступ и проверки
Как мы проверяемРасширенный доступИнструмент запускает код или ходит в сеть, а внешние данные только читает.
- Скрипты-сканеры и хук запускаются на машине пользователя.
- Проверка репозитория на GitHub использует доступ к настройкам проекта.
Это чужой код. Посмотрите файлы в репозитории перед установкой.
Что делает
Навык `security-audit` учит агента проводить проверку безопасности кода и проектов на GitHub. Основа — OWASP Top 10, CWE Top 25 за 2025 год, ASVS 4.0 и оценка по CVSS v3.1 и v4.0. Агент ищет XXE, SQL-инъекции, XSS, CSRF, внедрение команд, обход путей, небезопасную десериализацию, SSRF, ошибки JWT и фиксацию сессии, оценивает серьезность находки и подсказывает исправление. Для PHP и TYPO3 есть углубленное сканирование: файл `checkpoints.yaml` содержит более 80 контрольных точек, а 41 справочное руководство подгружается по необходимости. Скрипт-диспетчер определяет стек проекта и запускает подходящие сканеры, отдельный скрипт проверяет настройки репозитория на GitHub. Хук PreToolUse предупреждает об опасных командах оболочки, а раздел про DevSecOps касается конвейера CI, SAST, проверки зависимостей и цепочки поставок.
Для кого. PHP- и TYPO3-разработчикам и командам безопасности, которым нужен повторяемый разбор кода и оценка уязвимостей по единой шкале.
Подходит, если
- Перед релизом нужно пройти код приложения по списку OWASP Top 10 и получить таблицу находок.
- Найденной уязвимости надо присвоить оценку CVSS v4.0 и расставить приоритеты.
- Парсер XML принимает внешние сущности, и требуется безопасная замена.
- В репозитории на GitHub стоит проверить настройки защиты веток и зависимостей.
Не подходит, если
- Нужен активный тест на проникновение с эксплуатацией: навык разбирает код и настройки.
- Стек проекта другой, а глубокие проверки рассчитаны на PHP и TYPO3.
- Требуется заключение, которое заменит работу аудитора: оценки агента надо перепроверять.
Пример запроса к агенту
Проверь этот PHP-проект на SQL-инъекции и XSS, для каждой находки укажи файл, оценку CVSS v4.0 и способ исправления.Ограничения
Общие шаблоны подходят любому проекту, а 80 контрольных точек и скрипты-сканеры нацелены на PHP и TYPO3. Установка через `npx skills` ставит только файлы `SKILL.md`, поэтому хуки появляются при установке из маркетплейса или каталога навыков. Сканеры и скрипты запускаются на вашей машине, а проверка GitHub использует доступ к репозиторию. Лицензия в репозитории указана как CC-BY-SA-4.0 для текстов, ее условия стоит прочитать перед включением в продукт. Находки агента требуют ручной проверки, а оценка CVSS ориентировочная.
Как отключить. Удалите плагин `security-audit` через `/plugin`. При установке в каталог навыков удалите папку `~/.claude/skills/security-audit`, при установке через `npx skills` уберите навык из каталога агента.
Частые вопросы
Как поставить навык в Claude Code?
Выполните `/plugin marketplace add netresearch/claude-code-marketplace`, затем `/plugin install security-audit@netresearch-claude-code-marketplace`. Вариант без маркетплейса: клонировать репозиторий в `~/.claude/skills/security-audit`.
Можно ли поставить навык через npx?
Да: `npx skills add https://github.com/netresearch/security-audit-skill --skill security-audit`. Команда копирует только `SKILL.md`, хуки при этом не ставятся.
Какие уязвимости охватывает навык?
XXE, SQL-инъекции, XSS, CSRF, внедрение команд, обход путей, загрузка файлов, небезопасная десериализация, SSRF, жонглирование типами, SSTI, ошибки JWT, LDAP-инъекции, внедрение заголовков почты и фиксация сессии.
Что делает хук PreToolUse?
Скрипт `check_risky_command.py` проверяет команды оболочки до запуска и предупреждает об опасных. Хук входит в плагин и не работает при установке через `npx skills`.
Подходит ли навык для проектов не на PHP?
Да, общие шаблоны OWASP, CWE, CVSS и проверка проекта на GitHub применимы к любому стеку. Автоматические проверки по 80 контрольным точкам рассчитаны на PHP и TYPO3.
Обсуждение
Вопросов и отзывов пока нет.
Похожие
ПлагиныСкилл для проверки кода на уязвимости по OWASP Top 10:2025, ASVS 5.0 и спискам уязвимостей для LLM и ИИ-агентов 2026 года
Плагин безопасности кода: ищет уязвимости, пытается опровергнуть находки, подтверждает эксплуатацию и чинит патчем с перепроверкой
27 скиллов по безопасности WordPress: агент проверяет nonce и права, экранирует вывод и ревьюит плагины по чек-листам.
Проверка безопасности приложений, которые написал агент: правила для AGENTS.md, сканер живого сайта и аудит по 17 уязвимостям
Статический сканер уязвимостей в коде ИИ-агентов и конфигурациях MCP с 66 правилами по OWASP Agentic Top 10
Cybersecurity Skills
Cybersecurity Skills for AI Agents
42 скилла по безопасности для Claude Code, Cursor и Codex: аудит кода и облака, пентест с проверкой разрешения, реагирование на инциденты
Коротко о README
Навык подан как набор шаблонов аудита безопасности для любых проектов с глубоким сканированием PHP и TYPO3. Перечислены способы установки (маркетплейс, каталог навыков, npx, Composer и npm), примеры запросов и структура репозитория со скриптами и справочниками.