Скилл аудита безопасности с ГОСТ и ФСТЭК
Security Audit Skill for Claude Code
Скилл аудита безопасности для Claude Code: OWASP Top 10 плюс ГОСТ Р 56939, приказ ФСТЭК №21 и ФЗ-152, параллельные сабагенты и матрица соответствия
- 1 ★ репозитория
- Последний коммит
- MIT
Минимальный доступ
Почему такой уровень
- Только читает код проекта через grep и сабагентов, пишет лишь итоговый отчет в docs/
Установка
- Работает в
- Сервисы
В терминале, через SkillFoxx CLI
npx skillfoxx add skills/security-audit-skill-for-claude-codeОпределит агенты на машине, покажет уровень доступа и зафиксирует версию.
Другие способы установки
Доступ и проверки
Как мы проверяемМинимальный доступИнструмент ничего не запускает и не ходит в сеть.
- Только читает код проекта через grep и сабагентов, пишет лишь итоговый отчет в docs/
Это чужой код. Посмотрите файлы в репозитории перед установкой.
Что делает
Скилл запускает многослойную проверку безопасности проекта: OWASP Top 10 (2021) с grep-паттернами под Node/TypeScript, Python, Go и Rust, отдельный файл references/russian-security-standards.md сверяет типовые российские корпоративные требования безопасности с конкретными проверками на уровне кода (парольная политика, RBAC, журнал аудита, CSRF, TLS, SDLC) на основе ГОСТ Р 56939-2024, приказа ФСТЭК №21 и ФЗ-152, плюс чек-листы по компонентам (аутентификация, платежи, админка, загрузка файлов) и STRIDE-моделирование угроз. Перед запуском скилл задает четыре уточняющих вопроса о стеке, базе данных, модели авторизации и цели аудита, затем диспетчеризует 3-5 параллельных сабагентов с конкретным углом проверки и сводит результат в один отчет с уровнями CRITICAL/HIGH/MEDIUM и ссылками file:line.
Для кого. Для разработчиков и devops-инженеров, которым нужен аудит безопасности перед запуском в прод или подготовка к российским корпоративным тендерам с требованиями по ГОСТ и ФСТЭК.
Подходит, если
- Проект готовится к запуску в публичный доступ, особенно с авторизацией или платежами
- Нужна сверка с российскими требованиями безопасности для корпоративного тендера
- Плановый аудит раз в квартал-полгода или разбор после инцидента
Не подходит, если
- Простой CRUD без авторизации и платежей: аудит будет избыточен
- Хакатонный прототип, где безопасность через неясность допустима
- Статический сайт без бэкенда: нужна только проверка секретов и SSL
Пример запроса к агенту
Прогони security audit перед запуском в прод и сделай матрицу соответствия ФЗ-152Ограничения
Grep-паттерны под конкретный стек полноценно покрывают только Node/TypeScript, Python, Go и Rust, для PHP, Java и Ruby работают лишь общие проверки OWASP без специфичных паттернов. Диспетчеризация параллельных сабагентов требует инструмента запуска сабагентов в среде, интеграции с плагинами codex:rescue и superpowers:writing-plans опциональны и расширяют возможности, но не обязательны.
Как отключить. Удалите папку ~/.claude/skills/security-audit.
Частые вопросы
Нужны ли для аудита корпоративного тендера особые документы?
Скилл строит матрицу соответствия по разделам ГОСТ Р 56939-2024, приказа ФСТЭК №21 и ФЗ-152 с указанием файла и строки, подтверждающих каждый пункт.
Покрывает ли скилл PHP или Java?
Частично: общие проверки OWASP применяются, но специфичных grep-паттернов под эти стеки пока нет.
Обсуждение
Вопросов и отзывов пока нет.
Похожие
ГОСТ — все инструментыТЗ по ГОСТ
Навыки «ТЗ по ГОСТ» для Claude Code
Пять скиллов Claude Code для составления и проверки технических заданий по ГОСТ 34.602-2020 и ГОСТ 19.201-78
Скилл для агентов, который собирает или проверяет документ по ГОСТ и выдает список замечаний со ссылкой на конкретный пункт стандарта
Скилл сборки научной статьи по ГОСТу
scientific-article-builder
Скилл для агента Hermes, который ведет научную работу от источника до кликабельной ГОСТ-ссылки в DOCX и не дает выдумать цитату
Скилл, который учит агента писать комментарии, документацию и сообщения об ошибках по правилам УТР из ГОСТ Р 58049-2017, плюс линтер
GOST Report Skill: отчеты по лабораторным по ГОСТ 7.32
GOST Report Skill
Скилл для ИИ-агентов, который из кода, скриншотов схем и методички собирает отчет по лабораторной работе в docx по ГОСТ 7.32-2001
Оформление учебных отчетов по ГОСТ
Academic report formatting
Скилл для Codex и Claude: оформляет лабораторные, курсовые и пояснительные записки по методичке или ГОСТ, не выдумывая данные за автора
Сравнение с похожими
Карточки с тем же главным запросом: чем они отличаются.
| Инструмент | Официальный | Звезды репозитория | Главное отличие |
|---|---|---|---|
| Скилл аудита безопасности с ГОСТ и ФСТЭК (эта карточка) | нет | 1 | |
| claude-grc-engineering | нет | 432 | открытый набор плагинов Claude Code для комплаенса |
| OWASP Security | нет | 440 | скилл для проверки кода на уязвимости по OWASP Top 10:2025 |
Коротко о README
README перечисляет возможности (OWASP Top 10, российские стандарты, чек-листы по компонентам, STRIDE, типичные огрехи ИИ-генерированного кода), процесс из трех шагов (контекстные вопросы, параллельные сабагенты, сводный отчет), таблицу поддерживаемых стеков, случаи применения и неприменения, пример вывода отчета и список опциональных интеграций с другими плагинами.
Бейдж для README
Исходный SKILL.md
--- name: security-audit description: Universal security audit skill for Claude Code, OWASP Top 10 (2021) + Russian security standards (GOST R 56939, FSTEC, 152-FZ) + best practices. Use before launching to production, when adding auth/payment/admin, preparing for corporate tenders, or regularly every 3-6 months. Triggers: security audit, проверка безопасности, аудит безопасности, OWASP, ГОСТ ИБ, перед запуском проверь дыры, найди уязвимости. --- # Security Audit - универсальный скилл Запускает многослойную проверку безопасности проекта. Подходит для любого web-проекта (Node.js / Python / Go / Rust / PHP / Java backend + React/Vue/Angular frontend). ## Что проверяет 3 слоя: 1. OWASP Top 10 (международный стандарт, edition 2021): A01 Broken Access Control, A02 Cryptographic Failures, A03 Injection, A04 Insecure Design, A05 Security Misconfiguration, A06 Vulnerable Components, A07 Auth Failures, A08 Software/Data Integrity, A09 Logging/Monitoring Failures, A10 SSRF 2. Российские стандарты ИБ: парольная политика, RBAC, регистрация событий, интеграции, шифрование TLS, SDLC. Основано на ГОСТ Р 56939-2024, Приказе ФСТЭК №21, OWASP ASVS 3. Project-specific gotchas для текущего стека.