「Security Audit」搜索结果 — MCP 与 Agent Skill

保护 Helm chart 部署：校验 chart 签名与溯源、渲染并 lint 模板以发现错误配置、通过 values.yaml 强制 pod 安全上下文、把密钥移到外部存储而非 Helm values，以及限定 CI/CD 中 Helm 操作的 RBAC。适用于向 Kubernetes 部署 chart，或评审 chart 溯源、模板与 release RBAC。关键词：Helm、provenance 文件、helm verify、helm lint、values.yaml、无 Tiller、release RBAC、外部密钥。不要用于扫描渲染后的清单本身——那用 scanning-kubernetes-manifests-with-kubesec。

source

在 SkillsMP 查看

Cosign 镜像溯源验证

SkillSkillsMP

io.github.mukul975/Anthropic-Cybersecurity-Skills/implementing-image-provenance-verification-with-cosign

用 Sigstore Cosign 签名与验证容器镜像溯源，涵盖基于密钥与免密钥 OIDC 签名（Fulcio、Rekor 透明日志）、SLSA attestation，以及通过 Kubernetes 准入控制强制执行签名验证。适用于为供应链安全给镜像签名、搭建免密钥 OIDC 签名、附加 attestation，或在准入端执行"仅允许已验证镜像"的策略。关键词：Cosign、Sigstore、Fulcio、Rekor、keyless、attestation、cosign verify、准入策略。不要用于基于 in-toto layout 的流水线 attestation——那用 implementing-supply-chain-security-with-in-toto。

source

在 SkillsMP 查看

容器逃逸配置排查

SkillSkillsMP

io.github.mukul975/Anthropic-Cybersecurity-Skills/performing-container-escape-detection

使用 Kubernetes Python 客户端审计容器与 pod 配置中可能助逃逸的错误配置——特权标志、危险能力授予、host path 挂载、共享 namespace，以及 CVE-2022-0492 式的 cgroup 滥用。适用于全集群扫描可能逃逸的工作负载、产出安全态势报告，或在开启强制执行前检查配置。关键词：privileged、hostPath、hostPID、capabilities、CVE-2022-0492、cgroup、kubernetes python client、态势审计。不要用于基于 syscall 的运行时检测——那用 detecting-container-escape-attempts。

source

在 SkillsMP 查看

Calico 高级网络策略

SkillSkillsMP

io.github.mukul975/Anthropic-Cybersecurity-Skills/implementing-container-network-policies-with-calico

使用 Calico 超出上游 Kubernetes API 的自有策略 CRD——GlobalNetworkPolicy、HostEndpoint、NetworkSet、策略 tier 与基于域名的 DNS egress 规则——并用 calicoctl 应用与审计。适用于策略需要跨 namespace 或保护主机本身、egress 需按域名表达，或把策略编排成 tier。关键词：calicoctl、GlobalNetworkPolicy、HostEndpoint、NetworkSet、tier、DNS egress、order。不要用于可移植的上游 NetworkPolicy——那用 implementing-network-policies-for-kubernetes；安装 Calico 并编写标准策略用 implementing-kubernetes-network-policy-with-calico。

source

在 SkillsMP 查看

部署 OPA Gatekeeper 策略执行

SkillSkillsMP

io.github.mukul975/Anthropic-Cybersecurity-Skills/implementing-opa-gatekeeper-for-policy-enforcement

通过 Helm 部署 OPA Gatekeeper 作为 Kubernetes 准入控制器，编写带 Rego 的 ConstraintTemplate 及其实例化 Constraint，在准入时校验、变更或拒绝资源请求。适用于在 Kubernetes v1.24+ 准入阶段执行自定义策略即代码、在调度前阻止不合规工作负载，或表达内置控制做不到的规则。关键词：Gatekeeper、ConstraintTemplate、Constraint、Rego、admission webhook、audit、mutation。不要用于 Pod Security Admission 已覆盖的标准 pod 安全 profile——那用 implementing-pod-security-admission-controller。

source

在 SkillsMP 查看

检测 Pod 内提权

SkillSkillsMP

io.github.mukul975/Anthropic-Cybersecurity-Skills/detecting-privilege-escalation-in-kubernetes-pods

结合准入控制（OPA 策略）、运行时监控（Falco）以及对安全上下文、Linux capabilities 与系统调用模式的审计日志分析，检测并预防 Kubernetes pod 内的提权。适用于调查以 root 或特权运行的 pod、加固工作负载防 pod 内提权，或搜寻超出预期范围的容器。关键词：allowPrivilegeEscalation、runAsRoot、capabilities、securityContext、OPA、Falco、审计日志。不要用于经 RBAC 与 service account 权限的提权——那用 auditing-kubernetes-rbac-privilege-escalation。

source

在 SkillsMP 查看

kube-bench CIS 基准审计

SkillSkillsMP

io.github.mukul975/Anthropic-Cybersecurity-Skills/performing-kubernetes-cis-benchmark-with-kube-bench

把 kube-bench 输出整理成完整的 CIS Kubernetes Benchmark 审计：逐控制项解读 PASS/FAIL/WARN、判断托管集群上哪些失败是真实问题、编写修复方案，并为 SOC 2 或 PCI DSS 打包证据。适用于执行周期性合规审计、分诊 kube-bench 结果、判定 EKS/GKE/AKS 上哪些控制项不适用，或为审计方产出加固证据。不要用于安装和运行工具——那用 benchmarking-kubernetes-with-kube-bench。

source

在 SkillsMP 查看