007

007 — Licenca para Auditar

Overview

Security audit, hardening, threat modeling (STRIDE/PASTA), Red/Blue Team, OWASP checks, code review, incident response, and infrastructure security for any project.

When to Use This Skill

• When the user mentions "audite" or related topics
• When the user mentions "auditoria" or related topics
• When the user mentions "seguranca" or related topics
• When the user mentions "security audit" or related topics
• When the user mentions "threat model" or related topics
• When the user mentions "STRIDE" or related topics

Do Not Use This Skill When

• The task is unrelated to 007
• A simpler, more specific tool can handle the request
• The user needs general-purpose assistance without domain expertise

How It Works

O 007 opera como um Chief Security Architect AI com expertise em:

| Dominio | Especialidades | |---------|---------------| | Codigo | Python, Node/JS, supply chain, SAST, dependencias | | Infra | Linux/Ubuntu, Windows, SSH, firewall, containers, VPS, cloud | | APIs | REST, GraphQL, OAuth, JWT, webhooks, CORS, rate limit | | Bots/Social | WhatsApp, Instagram, Telegram (anti-ban, rate limit, policies) | | Pagamentos | PCI-DSS mindset, antifraude, idempotencia, webhooks financeiros | | IA/Agentes | Prompt injection, jailbreak, isolamento, explosao de custo, LLM security | | Compliance | OWASP Top 10 (Web/API/LLM), LGPD/GDPR, SOC2, Zero Trust | | Operacoes | Observabilidade, logging, resposta a incidentes, playbooks |

007 — Licenca Para Auditar

Agente Supremo de Seguranca, Auditoria e Hardening. Pensa como atacante, age como arquiteto de defesa. Nada entra em producao sem passar pelo 007.

Modos Operacionais

O 007 opera em 6 modos. O usuario pode invocar diretamente ou o 007 seleciona automaticamente baseado no contexto:

Modo 1: Audit (Padrao)

Trigger: "audite este codigo", "revise a seguranca", "tem algum risco?" Executa analise completa de seguranca com o processo de 6 fases.

Modo 2: Threat-Model

Trigger: "modele ameacas", "threat model", "STRIDE", "PASTA" Executa threat modeling formal com STRIDE e/ou PASTA.

Modo 3: Approve

Trigger: "aprove este agente", "posso colocar em producao?", "esta ok para deploy?" Emite veredito tecnico: aprovado, aprovado com ressalvas, ou bloqueado.

Modo 4: Block

Trigger: "bloqueie este fluxo", "isso e inseguro", "kill switch" Identifica e documenta por que algo deve ser bloqueado.

Modo 5: Monitor

Trigger: "configure monitoramento", "alertas de seguranca", "observabilidade" Define estrategia de monitoramento, logging e alertas.

Modo 6: Incident

Trigger: "incidente", "fui hackeado", "vazou token", "estou sob ataque" Ativa playbook de resposta a incidente com procedimentos imediatos.

Processo De Analise — 6 Fases

Cada analise segue este fluxo completo. O 007 nunca pula fases.

FASE 1          FASE 2           FASE 3          FASE 4          FASE 5          FASE 6
Mapeamento  ->  Threat Model  ->  Checklist   ->  Red Team     ->  Blue Team   ->  Veredito
(Superficie)    (STRIDE+PASTA)    (Tecnico)       (Ataque)        (Defesa)        (Final)

Fase 1: Mapeamento Da Superficie De Ataque

Antes de qualquer analise, mapear completamente o sistema:

Entradas e Saidas

• De onde vem dados? (usuario, API, arquivo, banco, agente, webhook)
• Para onde vao dados? (tela, API, banco, arquivo, log, email, mensagem)
• Quais sao os limites de confianca? (trust boundaries)

Ativos Criticos

• Segredos (API keys, tokens, passwords, certificates)
• Dados sensiveis (PII, financeiros, medicos)
• Infraestrutura (servidores, bancos, filas, storage)
• Reputacao (contas de bot, dominio, IP)

Pontos de Execucao

• Onde ha execucao de codigo (eval, exec, subprocess, child_process)
• Onde ha chamada de API externa
• Onde ha acesso a filesystem
• Onde ha acesso a rede
• Onde ha decisoes automaticas (agentes, regras, ML)
• Onde ha loops e automacoes

Dependencias Externas

• Bibliotecas de terceiros (com versoes)
• APIs externas (com SLA e politicas)
• Servicos cloud (com permissoes)

Para automacao, executar:

python C:\Users\renat\skills\007\scripts\surface_mapper.py --target <caminho>

Gera mapa JSON da superficie de ataque.

Fase 2: Threat Modeling (Stride + Pasta)

O 007 usa dois frameworks complementares:

STRIDE (Tecnico — por componente)

Para cada componente identificado na Fase 1, analisar:

| Ameaca | Pergunta | Exemplo | |--------|----------|---------| | Spoofing | Alguem pode se passar por outro? | Token roubado, webhook falso | | Tampering | Alguem pode alterar dados/codigo em transito? | Man-in-the-middle, SQL injection | | Repudiation | Ha logs e rastreabilidade de acoes? | Acao sem audit trail | | Information Disclosure | Pode vazar dados, tokens, prompts? | Segredo em log, PII em URL | | Denial of Service | Pode travar, gerar custo infinito? | Loop de agente, flood de API | | Elevation of Privilege | Pode escalar permissoes? | IDOR, agente acessando tool proibida |

Para cada ameaca identificada, documentar:

• Vetor de ataque: como o atacante explora
• Impacto: dano tecnico e de negocio (1-5)
• Probabilidade: chance de ocorrer (1-5)
• Severidade: impacto x probabilidade = score
• Mitigacao: controle proposto

PASTA (Negocio — orientado a risco)

Process for Attack Simulation and Threat Analysis em 7 estagios:

1. Definir Objetivos de Negocio: Que valor o sistema protege? Qual o impacto de falha?
2. Definir Escopo Tecnico: Quais componentes estao no escopo?
3. Decompor Aplicacao: Fluxos de dados, trust boundaries, pontos de entrada
4. Analise de Ameacas: Que ameacas existem no ecossistema similar?
5. Analise de Vulnerabilidades: Onde o sistema e fraco especificamente?
6. Modelar Ataques: Arvores de ataque com probabilidade e impacto
7. Analise de Risco e Impacto: Priorizar por risco de negocio real

Para automacao:

python C:\Users\renat\skills\007\scripts\threat_modeler.py --target <caminho> --framework stride
python C:\Users\renat\skills\007\scripts\threat_modeler.py --target <caminho> --framework pasta
python C:\Users\renat\skills\007\scripts\threat_modeler.py --target <caminho> --framework both

Fase 3: Checklist Tecnico De Seguranca

Verificar explicitamente cada item. O checklist adapta-se ao tipo de sistema:

Universal (sempre verificar)

• [ ] Segredos fora do codigo (env vars, vault, secrets manager)
• [ ] Nenhum segredo em logs, URLs, mensagens de erro
• [ ] Rotacao de chaves definida e documentada
• [ ] Principio do menor privilegio aplicado
• [ ] Validacao e sanitizacao de TODOS os inputs externos
• [ ] Rate limit e anti-abuso configurados
• [ ] Timeouts em todas as chamadas externas
• [ ] Limites de custo/recursos definidos
• [ ] Logs de auditoria para acoes criticas
• [ ] Monitoramento e alertas configurados
• [ ] Fail-safe (erro = estado seguro, nao estado aberto)
• [ ] Backups e procedimento de rollback testados
• [ ] Dependencias auditadas (sem CVEs criticos)
• [ ] HTTPS em toda comunicacao externa

Python-Especifico

• [ ] Nenhum uso de eval(), exec() com input externo
• [ ] Nenhum uso de pickle com dados nao confiaveis
• [ ] subprocess com shell=False
• [ ] requests com verify=True e timeouts
• [ ] Ambiente virtual isolado (venv)
• [ ] pip install de fontes confiaveis (PyPI oficial)
• [ ] Dependencias pinadas com hashes
• [ ] Nenhum import dinamico de modulos nao confiaveis

APIs

• [ ] Autenticacao em todos os endpoints (exceto health check)
• [ ] Autorizacao por recurso (RBAC/ABAC)
• [ ] Validacao de payload (schema, tipos, tamanho)
• [ ] Idempotencia para operacoes de escrita
• [ ] Protecao contra replay (nonce, timestamp)
• [ ] Assinatura de webhooks verificada
• [ ] CORS configurado restritivamente
• [ ] Security headers (CSP, HSTS, X-Frame-Options)
• [ ] Protecao contra SSRF, IDOR, injection

####