# CSO 보안 감사 (cso)

> gstack-cso 헬퍼로 증거 중심 보안 감사를 해 근거 있는 발견을 보고하며, 종합 모드는 재현과 수정 후보도 더합니다.

- 카테고리: [보안 감사](https://www.myskills.tools/ko/categories/security-audit/)
- 출처: 커뮤니티 · Garry Tan
- 저장소: https://github.com/garrytan/gstack/tree/main/cso (commit 7dc2f23 · v3.0.0)
- SKILL.md: https://github.com/garrytan/gstack/blob/main/cso/SKILL.md
- 설치 명령: `npx skills add garrytan/gstack --skill cso`
- 라이선스: MIT
- 호환 도구: Claude Code, Codex, Cursor, Copilot
- 권한: read-repo ✓, write-files ✗, shell ✓, network ✓
- 상태: 스캔 통과
- 규칙 스캔으로 모든 위험을 찾을 수는 없습니다. 설치 전에 이 스킬의 SKILL.md를 읽고 권한을 확인하세요.
- ⚠ gstack-cso 설치가 필요하며, 종합 모드는 로컬 Docker에서 앱을 실행하고 가린 보고서는 30일간 보관됩니다.

## 핵심 규칙

보증보다 증거가 먼저입니다. 공격자가 제어하는 진입점, 보안 경계 침범, 실제 영향이 모두 있는 발견만 보고합니다.

## 실행 단계

1. **모드 결정과 시작** — 범위와 인자를 정하고 신뢰할 수 있는 런처로 실행을 한 번만 시작하며, 이후 소스는 헬퍼의 inspect/read/history로만 읽습니다.
2. **모델링과 공격면** — 행위자, 자산, 진입점, 테넌트 경계, 보안 불변 조건을 정리하고 엔드포인트, 업로드, 웹훅, CI/CD 등 공격면을 기록합니다.
3. **범위별 감사** — 선택한 범위에 따라 인프라, 코드, 스킬, 공급망, OWASP 등의 감사 단계를 실행합니다.
4. **증거 평가와 반박** — 심각도, 신뢰도, 증거를 따로 판단하고 독립 검토자나 별도의 회의적 검토로 각 후보를 반박해 보며 같은 유형의 위치도 살핍니다.
5. **보고와 재확인** — 보고서는 완료·부분·미평가 중 하나로 시작해 발견 표를 제시하고 헬퍼로 저장하며, resume·replay·recheck로 이어 가거나 재확인합니다.

## 권한 설명 (SKILL.md 기준)

| 기능 | 필요 여부 | 설명 |
|---|---|---|
| 파일 쓰기 | 필요 없음 | 브랜치나 프로젝트 소스는 바꾸지 않으며, 보고서와 수정 후보는 헬퍼가 전용 상태 디렉터리에 저장합니다. |
| 명령 실행 | 일부 필요 | gstack-cso 런처만 실행할 수 있으며, 대상 도구나 Docker를 호스트에서 직접 실행하지 않습니다. |
| 네트워크 송신 | 일부 필요 | 공개 패키지와 보안 권고 ID만 조회하며, --offline으로 모든 네트워크 접근을 끌 수 있습니다. |

## SKILL.md 프런트매터(YAML)

```yaml
---
name: cso
version: 3.0.0
description: "Security audit: supported static findings; qualified profiles add reproduction and repair candidates. (gstack)"
allowed-tools:
  - "Bash(~/.claude/skills/gstack/bin/gstack-cso-launcher *)"
  - "Bash(~/.claude/skills/gstack/bin/gstack-cso-launcher.exe *)"
triggers:
  - security audit
  - check for vulnerabilities
  - owasp review
---
```

홈: https://www.myskills.tools/ko/ · URL: https://www.myskills.tools/ko/skills/cso/