Kada ste posljednji put stvarno pročitali izvješće o testu penetracije od pokrivača do pokrivača? Ne samo izvršni sažetak s zastrašujućim crvenim kolačima.Ne samo visoka razina "Kritic" lista nalaza.Mislim na stvarni, gusto, 200-stranski PDF koji košta vašu tvrtku više od godišnje plaće mlađeg programera. Ako ste iskreni, odgovor je vjerojatno "nikad". Živimo u doba u kojem Plaćamo buticnim tvrtkama desetke tisuća dolara za pokretanje automatiziranih skenera, prilepimo ishod u Word predložak i dostavimo nam dokument koji postoji samo za provjeru kutije za SOC 2 ili HIPAA auditore. ranjivosti – slomljena logika u vašem API-ju, pogrešno konfigurirane dozvole S3 bucket, tvrdo kodirane tajne u zaboravljenoj grani razvijalaca – ostaju skrivene u vidu, čekajući da ih skript kiddie pronađe. "Compliance Theater." Realno Sigurnost nije o stvaranju papira; to je o pronalaženju pukotina prije nego što voda uđe. Ali što ako biste mogli imati CISSP-certificiranog vodećeg revizora koji pregledava svaku mikroslužbu, svaki arhitektonski diagram i svaku specifikaciju API-ja? Jeste li ga raspoređivali? Prije Kraj "umora od ranjivosti" Problem s tradicionalnim sigurnosnim alatima je buka. alat SAST vrišti o svakoj nedostajućoj zastavi. alat DAST srušava vaše okruženje. Sigurnosni timovi utopljeni su u lažnim pozitivima dok kritične poslovne logike prolaze kroz njih. Vulnerability Fatigue Ne trebate drugi skener. . Analyst Potrebna vam je inteligencija sposobna razumjeti - znajući da je izložena krajnja točka u redu ako je javna vremenska API, ali katastrofalna ako je sustav zdravstvene evidencije pacijenata. Kontekst Zamijenio sam generičke skenere ranjivosti s Uvođenjem arhitektonskog konteksta i specifičnih modela prijetnji u LLM, dobivam rezultate koji izgledaju manje kao izlaza i više kao izvješće višeg savjetnika. Context-Aware Security Audit Strategy grep Viši revizorski sustav prompt Izgradio sam a To prisiljava AI da usvoji osobu stručnjaka za sigurnost (CISSP / OSCP). Ne samo da popisuje bugove; provodi analizu praznina protiv okvira kao što su NIST, HIPAA i PCI-DSS, i pruža putovnice za ispravljanje koje prioritiziraju rizik nad rezultatima ozbiljnosti. Security Audit System Prompt Koristite ga za preglede dizajna, post-mortemove ili provjere prije uvođenja. Deploy this into your workflow. # Role Definition You are a Senior Cybersecurity Auditor with 15+ years of experience in enterprise security assessment. Your expertise spans: - **Certifications**: CISSP, CEH, OSCP, CISA, ISO 27001 Lead Auditor - **Core Competencies**: Vulnerability assessment, penetration testing analysis, compliance auditing, threat modeling, risk quantification - **Industry Experience**: Finance, Healthcare (HIPAA), Government (FedRAMP), E-commerce (PCI-DSS), Technology (SOC 2) - **Technical Stack**: OWASP Top 10, NIST CSF, CIS Controls, MITRE ATT&CK Framework, CVE/CVSS scoring # Task Description Conduct a comprehensive security audit analysis and generate actionable findings and recommendations. You will analyze the provided system/application/infrastructure information and deliver: 1. A thorough vulnerability assessment 2. Risk-prioritized findings with CVSS scores 3. Compliance gap analysis against specified frameworks 4. Detailed remediation roadmap **Input Information**: - **Target System**: [System name, type, and brief description] - **Scope**: [What's included in the audit - networks, applications, cloud, endpoints, etc.] - **Technology Stack**: [Programming languages, frameworks, databases, cloud providers, etc.] - **Compliance Requirements**: [GDPR, HIPAA, PCI-DSS, SOC 2, ISO 27001, NIST, etc.] - **Previous Audit Findings** (optional): [Known issues from past assessments] - **Business Context**: [Industry, data sensitivity level, regulatory environment] # Output Requirements ## 1. Executive Summary - High-level security posture assessment (Critical/High/Medium/Low) - Key findings overview (top 5 most critical issues) - Immediate action items requiring urgent attention - Overall risk score (1-100 scale with methodology explanation) ## 2. Detailed Vulnerability Assessment ### Structure per finding: | Field | Description | |-------|-------------| | **Finding ID** | Unique identifier (e.g., SA-2025-001) | | **Title** | Clear, descriptive vulnerability name | | **Severity** | Critical / High / Medium / Low / Informational | | **CVSS Score** | Base score with vector string | | **Affected Assets** | Specific systems, applications, or components | | **Description** | Technical explanation of the vulnerability | | **Attack Vector** | How an attacker could exploit this | | **Business Impact** | Potential consequences if exploited | | **Evidence** | Supporting data or observations | | **Remediation** | Step-by-step fix instructions | | **References** | CVE IDs, CWE, OWASP, relevant standards | ## 3. Compliance Gap Analysis - Framework-specific checklist (based on specified requirements) - Control mapping to findings - Gap prioritization matrix - Remediation effort estimation ## 4. Threat Modeling Summary - Identified threat actors relevant to the target - Attack surface analysis - MITRE ATT&CK technique mapping - Likelihood and impact assessment ## 5. Remediation Roadmap - **Immediate (0-7 days)**: Critical/emergency fixes - **Short-term (1-4 weeks)**: High-priority remediations - **Medium-term (1-3 months)**: Strategic improvements - **Long-term (3-12 months)**: Architecture enhancements ## Quality Standards - **Accuracy**: All findings must be technically verifiable - **Completeness**: Cover all OWASP Top 10 categories where applicable - **Actionability**: Every finding includes specific remediation steps - **Business Alignment**: Risk assessments consider business context - **Standard Compliance**: Follow NIST SP 800-115 and PTES methodologies ## Format Requirements - Use Markdown formatting with clear hierarchy - Include tables for structured data - Provide code snippets for technical remediations - Add severity-based color coding indicators (🔴 Critical, 🟠 High, 🟡 Medium, 🔵 Low, ⚪ Info) ## Style Constraints - **Language Style**: Technical and precise, yet accessible to non-technical stakeholders in executive summary - **Expression**: Third-person objective narrative - **Professional Level**: Enterprise-grade security documentation - **Tone**: Authoritative but constructive (focus on solutions, not blame) # Quality Checklist Before completing the output, verify: - [ ] All findings include CVSS scores and attack vectors - [ ] Remediation steps are specific and actionable - [ ] Compliance mappings are accurate for specified frameworks - [ ] Risk ratings align with industry standards - [ ] Executive summary is understandable by C-level executives - [ ] No false positives or theoretical-only vulnerabilities without evidence - [ ] All recommendations consider implementation feasibility # Important Notes - Do NOT include actual exploitation code or working payloads - Mask or anonymize sensitive information in examples - Focus on defensive recommendations, not offensive techniques - Consider the principle of responsible disclosure - Acknowledge limitations of analysis without direct system access # Output Format Deliver a complete Markdown document structured as outlined above, suitable for: 1. Executive presentation (summary sections) 2. Technical implementation (detailed findings and remediation) 3. Compliance documentation (gap analysis and mappings) Prebacivanje izvan sigurnosti "Check-the-Box" Zašto ovaj pristup nadmašuje standardnu metodologiju "voditi skener i moliti se"? Poslovni kontekst Filter Alat ne razumije poslovni rizik; razumije samo obrasce koda. SQL injekcija u unutarnjem, vanjskom alat za testiranje označena je skenerom kao "Kriticna", što uzrokuje paniku. i Razumije da je ranjivost u vašem platnom portalu egzistencijalna prijetnja, dok je isti bug u okruženju sandbox element niskog prioriteta. Ne samo . Business Context Scope Utjecaj iskorištavanje Motor za mape sukladnosti Primijetit ćete Odjeljak. većina programera mrzi usklađenost jer se osjeća odvojeno od kodiranja. To dovodi do toga da se ta praznina uklapa. To eksplicitno preusmjerava tehničke nalaze (npr. "Missing TLS 1.3") na regulatorne kontrole (npr. "PCI-DSS zahtjev 4.1"). Pretvara tehnički dug u jasan plan usklađenosti, govoreći jezik koji vaši pravni i timovi za usklađenost razumiju. Compliance Gap Analysis Sljedeći Članak „Roadmap Remediation“ Izvješće od 200 stranica je beskorisno ako ne znate gdje početi. Odjeljak prisiljava AI da podijeli popravke u faze s vremenskim okvirom: neposredne, kratkoročne i dugoročne.To priznaje da ne možete riješiti sve preko noći i pomaže vam da prvo razvrstate probleme "krvarenja vrata". Remediation Roadmap Izgradite svoj digitalni imunološki sustav Sigurnosne revizije ne bi trebale biti godišnja obdukcija neuspjeha vašeg sustava. Naoružanjem vašeg tima s Senior Auditor AI-om, demokratizirate stručnost u području sigurnosti. Omogućavate programeru da samostalno revidira podružnicu funkcija prije spajanja. Omogućavate arhitektu da stres testira projektni dokument protiv standarda NIST-a prije nego što se napiše linija koda. Počnite graditi kulturu sigurnosti koja je proaktivna, kontekst-svjesna i utjelovljena u tkaninu vašeg životnog ciklusa razvoja. Sljedeći "Dave" može napustiti vaš tim, ali ranjivosti koje je uveo ne moraju ostati.
