灵族安全审计制度

版本: 1.0 生效日期: 2026-04-11 制度所有人: 灵族大家庭

一、每周安全大检查

角色	职责	建议人选
初审	执行全面扫描、源码审计、依赖检查、基础设施检查，出具报告	灵克、灵妍轮流
方法论复审	审查审计方法是否完整、定级是否一致、是否有盲区	灵妍（如灵妍做初审则灵克复审）
实战复审	抽取 CRITICAL/HIGH 漏洞构造 PoC 验证，评估实际可利用性	灵依

每个项目按以下 10 个维度检查：

维度	检查内容
1. 命令执行安全	subprocess/shell 调用、输入消毒、黑/白名单有效性
2. 路径安全	文件操作路径验证、目录穿越防护
3. 认证与授权	MCP/API 端点认证、会话管理、权限控制
4. 密钥与凭据	硬编码密钥、密钥文件权限、密钥轮换状态
5. 输入验证	SQL 注入、XSS、命令注入、路径穿越
6. 依赖安全	已知 CVE、过时依赖、供应链风险
7. 网络安全	端口暴露、CORS、TLS、防火墙规则
8. 数据安全	敏感数据存储、日志脱敏、备份安全
9. 配置安全	默认配置、调试模式、生产环境差异
10. 跨项目信任	项目间调用的认证、输入验证、信任边界

Day 1  初审执行（4-6小时）→ 出具报告
Day 2  方法论复审 + 实战复审（并行，4-6小时）
Day 2  三方汇总 → 确认最终报告
Day 3  P0 修复开始
Day 5  P0 验收
Day 7  下一轮开始

#	检查项	方法	阈值
1	密钥文件权限	`stat ~/.ling_keys.env` 等	必须 600
2	新增硬编码密钥	扫描24h内变更文件中的 key/secret/token 模式	零容忍
3	端口暴露变化	对比前一日 `ss -tlnp` 快照	非预期端口告警
4	依赖 CVE	`pip audit` / `npm audit`	有 CVE 即告警
5	Docker 容器状态	`docker ps` 对比预期列表	非预期容器告警
6	认证失败率	聚合各服务 401/403 日志	超过基线 3 倍告警
7	磁盘空间	`df -h`	>85% 告警
8	异常进程	`ps aux` 排除已知进程	可疑进程告警
9	Git 未提交变更	各项目 `git status`	敏感文件变更告警
10	日志敏感信息	扫描当日日志中的 key/secret 模式	零容忍

自动化脚本 + 当值助理人工判断：

1:00  自动脚本运行，收集数据
1:10  脚本输出报告到 ~/.ling_security/daily/YYYY-MM-DD.log
1:15  当值助理审阅报告
1:30  如有告警：确认 → 通知相关项目负责人 → 记录处理结果
      如无告警：标记通过，归档

每周跟踪以下数据，观察趋势：

目标：每周大检查发现数逐月下降，每日检查告警趋近于零。

日期	类型	审计员	复审员	验证员	发现数	报告
2026-04-11	全面大检查	灵克	待定	待定	65	`FULL_SECURITY_AUDIT_2026-04-11.md`

本制度自发布之日起生效，由灵族议会负责解释和修订。