/ Directorio / Playground / security-skills
← Todos los servidores ↗ GitHub
● Comunidad eth0izzle ⚡ Instantáneo

security-skills

por eth0izzle · eth0izzle/security-skills

Habilidades de ciberseguridad defensiva para Claude Code — modelado de amenazas, revisión de configuraciones, auditorías de dependencias. Para equipos de defensa, no para pentesters.

Una colección de habilidades de Claude Code orientadas al trabajo de ciberseguridad defensiva: revisar políticas de IAM, verificar árboles de dependencias en busca de CVE conocidos, producir modelos de amenazas para nuevas características, auditar Dockerfiles y manifiestos de k8s en busca de configuraciones erróneas comunes.

▶ Ver demo 📦 Instalar 💡 Casos de uso

Por qué usarlo

Características clave

Demo en vivo

Cómo se ve en la práctica

security-skill.replay ▶ listo
0/0

Instalación

Repositorio del autor · Documentación oficial de Skills de Claude

Casos de uso

Usos del mundo real: security-skills

Producir un modelo de amenazas STRIDE para una nueva característica

👤 Ingenieros de seguridad, ingenieros senior responsables de la revisión de seguridad de una característica ⏱ ~45 min advanced

Cuándo usarlo: Revisión de diseño para una característica que toca datos de usuario, autenticación o redes externas.

Flujo
  1. Recorrer el sistema
    Usa security-skills. Aquí está el diseño para [característica]. Enumera los límites de confianza y flujos de datos.✓ Copiado
    → Límites de confianza nombrados, flechas de flujo de datos explícitas
  2. Aplicar STRIDE
    Para cada límite, identifica riesgos de Spoofing, Tampering, Repudiation, divulgación de información, DoS y escalada de privilegios.✓ Copiado
    → Tabla con amenazas evaluadas, no recomendaciones genéricas tipo 'considera XSS'
  3. Proponer mitigaciones
    Clasifica las amenazas por probabilidad × impacto y propone mitigaciones concretas para los 5 principales.✓ Copiado
    → Controles específicos (límite de velocidad, solicitudes firmadas, registro de auditoría)

Resultado: Un documento de modelo de amenazas listo para una reunión de revisión de seguridad.

Errores comunes
  • STRIDE se convierte en un mero formalismo — Exige historias concretas de atacante — 'atacante con X quiere Y, hace Z'
Combinar con: filesystem

Escanear las dependencias del repositorio en busca de CVE conocidos

👤 Equipos de desarrollo que responden a un aviso de seguridad ⏱ ~30 min intermediate

Cuándo usarlo: Aparece un nuevo CVE y necesitas saber dónde estás expuesto.

Flujo
  1. Apunta al manifiesto
    Usa security-skills. Audita package-lock.json en busca de dependencias con CVE conocidos publicados en los últimos 90 días.✓ Copiado
    → Lista de paquetes, ID de avisos, severidad
  2. Clasificar por uso
    Para cada dependencia vulnerable, busca en la base de código — ¿es realmente alcanzable?✓ Copiado
    → Clasificación alcanzable vs no alcanzable
  3. Redacta un plan de actualización
    Planifica el orden de actualización de riesgo mínimo para que CI no se rompa.✓ Copiado
    → Secuencia de actualización ordenada con versiones especificadas

Resultado: Un plan de parche concreto — no 'ejecuta npm audit fix' y reza.

Errores comunes
  • Dependencias transitivas perdidas — Usa el archivo de bloqueo completo, no solo el manifiesto de nivel superior
Combinar con: filesystem · github

Revisar manifiestos de Terraform y k8s en busca de configuraciones erróneas comunes

👤 Ingenieros de plataforma, DevSecOps ⏱ ~30 min intermediate

Cuándo usarlo: Antes de fusionar cambios de IaC en main, o auditar lo que ya está allí.

Flujo
  1. Apunta a Claude al directorio de IaC
    Usa security-skills. Escanea terraform/ en busca de cubos S3 sin cifrado, comodines de IAM, grupos de seguridad públicos.✓ Copiado
    → Referencias de archivo+línea con severidad
  2. Obtener correcciones
    Para cada hallazgo, propón el diff mínimo de Terraform para solucionarlo.✓ Copiado
    → Fragmentos HCL mostrando antes/después

Resultado: Correcciones de seguridad del tamaño de PR que puedes fusionar incrementalmente.

Errores comunes
  • Falsos positivos en activos públicos intencionales — Etiqueta los recursos que son públicos intencionalmente; la habilidad debería omitirlos
Combinar con: github · filesystem

Combinaciones

Combínalo con otros MCPs para multiplicar por 10

security-skill + github

Publica hallazgos como comentarios de PR automáticamente

Revisa este PR y deja comentarios de línea para cada hallazgo de seguridad.✓ Copiado
security-skill + filesystem

Escaneos recursivos en todo un monorepo

Recorre el árbol services/ completo y agrega hallazgos por servicio.✓ Copiado

Herramientas

Lo que expone este MCP

HerramientaEntradasCuándo llamarCoste
threat_model descripción del sistema Revisión de fase de diseño 0
cve_audit ruta del archivo de bloqueo Después de que aparece un CVE público 0 (utiliza datos públicos de avisos)
iac_review ruta del directorio Auditorías de IaC previas a la fusión 0
secret_scan ruta o diff Pre-commit o pre-push 0

Coste y límites

Lo que cuesta ejecutarlo

Cuota de API
Ninguno integrado
Tokens por llamada
Moderado — depende de los archivos inspeccionados
Monetario
Gratuito
Consejo
Limita escaneos a directorios específicos; no apuntes a node_modules.

Seguridad

Permisos, secretos, alcance

Almacenamiento de credenciales: Ninguno en la habilidad en sí
Salida de datos: Ninguno — la habilidad es prompts; ten en cuenta que el código inspeccionado va a la API de Claude

Resolución de problemas

Errores comunes y soluciones

La habilidad sugiere técnicas de explotación

Vuelve a solicitar un enfoque defensivo: 'como defensor, ¿cómo prevengo X'

Demasiados falsos positivos en el escaneo de IaC

Proporciona contexto (prod vs staging; recursos públicos intencionales)

Se pasó por alto una vulnerabilidad conocida

El corte de conocimiento de Claude puede estar rezagado. Empareja con un escáner adecuado (Trivy, Snyk) para datos de CVE autorizados.

Alternativas

security-skills vs otros

AlternativaCuándo usarlaContrapartida
Trivy / GrypeNecesitas una base de datos de vulnerabilidades autorizada y actualizadaSin razonamiento de LLM — solo salida de escaneo sin procesar
tfsec / checkovEscaneo específico de IaC con un conjunto de reglas curadoLimitado por reglas; pierde configuraciones erróneas matizadas

Más

Recursos

📖 Lee el README oficial en GitHub

🐙 Ver issues abiertas

🔍 Ver todos los 400+ servidores MCP y Skills