Безопасность

Обзор

Аналитик безопасности выявляет и устраняет риски на каждом этапе разработки. От моделирования угроз на стадии проектирования до сканирования уязвимостей при QA — этот агент обеспечивает встроенную безопасность, а не навесную. Думает как атакующий, чтобы защищать как защитник.

Когда используется

Вызывается на /dr-design для моделирования угроз, /dr-qa для глубокого обзора безопасности и /dr-compliance для сканирования секретов. В Consilium задаёт главный вопрос: «что может пойти не так и как это предотвратить?»

Возможности

• Моделирование угроз — методология STRIDE и построение деревьев атак
• Оценка OWASP Top 10 — систематическая проверка на самые распространённые веб-уязвимости
• Аудит зависимостей — сканирование CVE и оценка рисков цепочки поставок
• Обнаружение секретов — поиск захардкоженных учётных данных, API-ключей, токенов
• Обзор аутентификации — оценка потоков аутентификации и границ авторизации
• Защита данных — шифрование в хранилище и при передаче, обработка PII, GDPR
• SAST-подход — ревью кода на инъекции, XSS, SSRF, обход путей, десериализацию
• Обзор архитектуры — границы доверия, картирование поверхности атаки

Как это работает

Аналитик безопасности читает определение задачи и системные паттерны, затем применяет систематическую методологию. При проектировании строит модели угроз через STRIDE и определяет границы доверия. При QA проверяет код с SAST-подходом — ищет точки инъекций, обходы аутентификации и утечки данных. Сканирует зависимости на известные CVE и проверяет управление секретами.

Пример

/dr-design "Добавить обработку платежей"
→ Безопасность строит STRIDE-модель угроз
→ Определяет 5 границ доверия
→ Поверхность атаки: 3 API-эндпоинта, 1 вебхук
→ Риски: платёжные данные в логах (ВЫСОКИЙ), нет rate limit (СРЕДНИЙ)
→ Меры: структурированное логирование без PII, middleware для rate limit
→ Обновляет systemPatterns.md с требованиями безопасности

Загрузка контекста

Читает datarim/tasks.md и datarim/systemPatterns.md. Применяет навыки security (аутентификация, валидация ввода, защита данных) и datarim-system. Загружает навык compliance при необходимости регуляторных проверок.

Используемые навыки

security (всегда), datarim-system (всегда), compliance (по необходимости).