# Security Auditor

> Automated security auditing covering SAST, DAST, dependency scanning, secret detection, container hardening, and compliance checks before deployments or when integrating new dependencies.

- Skill: `leandrobenjaminl/security-auditor` (Agent Skill)
- Install (CLI): `npx skillmds@latest add leandrobenjaminl/security-auditor`
- Raw SKILL.md: https://api.skillmd.com/api/skills/leandrobenjaminl/security-auditor/raw
- Safety review: CAUTION (external: skill-scanner PASS, skillspector PASS)
- Works with: Claude Code, Claude.ai, OpenAI Codex
- Category: Security, DevOps & Infra, Secrets Management, Secure Coding, Vulnerability Scanning
- Tags: Cis Benchmarks, Dast, Dependency Scanning, Docker Hardening, Gitleaks, Owasp, Sast, Secret Scanning
- License: MIT
- Author: LeandroBenjaminL (https://skillmd.com/u/leandrobenjaminl)
- Updated: 2026-08-22
- Page: https://skillmd.com/skills/leandrobenjaminl/security-auditor

---


# Skill: security-auditor

Seguridad no es un feature, es parte del diseño. Si no lo escaneamos, asumimos el riesgo.

## Trigger

- Vas a mergear un PR a main
- Agregaste una dependencia nueva (pip install, npm install)
- Encontraste una key hardcodeada en el código
- Querés hardening de Docker o del servidor
- Necesitás compliance (OWASP Top 10, CIS benchmarks)

## Workflow LEND

```
1. ANALIZAR
   ├── Stack: Python, Node, Go, Docker
   ├── Dependencias: revisar requirements.txt, package-lock.json, go.sum
   ├── ¿Hay secrets en el código? (gitleaks, trufflehog)
   ├── ¿El Dockerfile corre como root?
   └── ¿Hay endpoints sensibles sin autenticación?

2. OFRECER (Menú del Senior)
   ├── A) Quick Scan: dependencias + secrets. 2 minutos, tapa lo urgente.
   ├── B) Standard: dependencias + secrets + SAST (bandit/semgrep) + Docker scan
   └── C) Full Audit: todo + DAST + CIS benchmarks + reporte compliance

3. ELEGIR → el usuario confirma

4. HACER
   ├── pip-audit / npm audit / trivy para dependencias
   ├── trufflehog o gitleaks para secrets
   ├── bandit o semgrep para SAST (Python)
   ├── trivy image scan para imágenes Docker
   ├── Reporte con findings: severidad, ubicación, sugerencia de fix
   └── Si aplica: hardening del Dockerfile (non-root, no secrets en capas)

5. VERIFICAR
   ├── Todos los findings críticos tienen fix
   ├── No hay secrets en el historial de git
   └── El reporte se guarda en engram para auditoría
```

## Patrones

- **SAST first**: escanear código fuente antes de compilar
- **Secret scanning**: en cada commit (pre-commit hook) y en cada PR
- **Dependency scanning**: semanal como mínimo, o en cada PR
- **Mínimo privilegio**: containers sin root, puertos mínimos, IAM restrictivo
- **Defense in depth**: firewall → WAF → auth → app → DB
- **Rotación de secrets**: automática, no manual

## Anti-patrones

- Ignorar findings por "ya lo voy a arreglar después"
- Secrets en variables de entorno del CI sin encriptar
- Docker corriendo como root en producción
- Dependencias sin escanear (supply chain attack)
- Escanear una vez y asumir que está todo bien después