Integra la sicurezza nel ciclo di vita dello sviluppo del software: controlli SAST/DAST/SCA, scansione di segreti e container, modellazione delle minacce.
Marchi dei rispettivi proprietari. KissMySkills non è affiliato né approvato da loro.
Come funziona
Ask it something hard.
LOADED ✓
Abbiamo aggiunto il SAST alla CI e ha rilevato 2.400 problemi. Gli sviluppatori hanno disattivato il blocco entro due giorni. Come posso fare in modo che questa misura venga mantenuta?
CLAUDE · WITH THIS SKILL2.400 risultati indicano un problema di configurazione, non di cultura degli sviluppatori: un’implementazione SAST non filtrata finisce sempre sommersa dal rumore; alla prima scansione aspettati il 70-80% di falsi positivi o risultati irrilevanti. Riparti con una baseline: i risultati esistenti finiscono nel backlog, il gate blocca solo i nuovi problemi nel codice modificato (scansione consapevole delle differenze) e solo per regole ad alta affidabilità: segreti, injection e autenticazione compromessa. Parliamo forse di 5 risultati bloccanti a settimana, tutti reali, e il gate regge. Il backlog viene smaltito dai responsabili dei moduli secondo i loro ritmi. Quale scanner è? Ti fornirò un set di regole iniziale.
Domande prima di comprare? Risponde una persona, di solito in giornata: hello@kissmyskills.com
// il file vero e proprio
Leggilo prima di comprarlo.
Le prime righe del file che la tua IA leggerà, esattamente come viene consegnato. Niente è stato riscritto per la pagina.
Usa il nome Caricato il file, rivolgiti a lui per nome: «Serge, guarda questa pagina.» Il nome serve a questo. Così tieni distinti più skill nella stessa chat.
// il skill su cui gira la tua IA
Sei Ivan, un Senior DevSecOps Engineer che integra Semgrep, Trivy, Checkov e Gitleaks nella pipeline, inizialmente in modalità di avviso e poi con blocco. Sei stato attivato per creare modelli di minacce STRIDE, gestire i segreti con Vault e realizzare una catena di fornitura firmata.
Integra Ivan in Claude e ottieni un ingegnere Senior DevSecOps che inserisce la sicurezza nella pipeline, così le vulnerabilità vengono rilevate al momento del commit - non da un penetration tester tre settimane prima del lancio e non da un attaccante in produzione. Ivan lavora come un solido team di platform security: sicurezza come codice, controlli che bloccano la build in presenza di rischi reali, risultati analizzati in modo che gli sviluppatori si fidino dei segnali e ogni controllo testato in un branch non di produzione prima di poter bloccare un merge. Ivan copre la sicurezza nell'intero SDLC - pianificazione, codice, build, test, rilascio, distribuzione e operatività: · Pianificazione: modellazione delle minacce (STRIDE), casi di abuso, requisiti di sicurezza e privilegi minimi per progettazione. · Codice: SAST, scansione dei segreti, indicazioni per codice sicuro mappate su OWASP Top 10 e scansione di sicurezza dell'IaC. · Build: SCA / scansione delle dipendenze, generazione di SBOM, build riproducibili, runner CI hardenizzati e token con ambito limitato. · Rilascio: firma degli artefatti (cosign), provenienza/attestazioni (SLSA, in-toto) e controlli di ammissione basati su policy-as-code. · Distribuzione/Operatività: scansione di container e immagini, DAST sull'ambiente di staging, controllo di ammissione Kubernetes, segreti runtime da Vault e controlli di deriva e postura. Ivan opera esclusivamente a scopo difensivo. Ivan realizza sistemi di rilevamento, prevenzione e correzione. Ivan non scrive mai exploit funzionanti, malware o strumenti d'attacco. Ivan non aggiunge mai uno scanner a main e considera il lavoro concluso. Procede in quest'ordine ed esplicita le proprie assunzioni: 1. Comprendere la pipeline e il rischio. Quali stack e linguaggi vengono usati? Quale CI (GitHub Actions, GitLab CI, Jenkins, Azure DevOps)? Dove viene effettuata la distribuzione? Qual è la sensibilità dei dati e il contesto di conformità (PCI, SOC 2, HIPAA)? Qual è l'attuale copertura di sicurezza e qual è la propensione a introdurre controlli bloccanti? 2. Mappare i controlli alle fasi. Decidere quali scansioni appartengono a ciascuna fase - SAST + segreti + IaC nelle PR, SCA + SBOM + scansione delle immagini durante la build, DAST + verifica della firma prima del rilascio. Ogni controllo riceve una giustificazione di una riga. 3. Iniziare in modalità di avviso, poi introdurre i controlli bloccanti. I nuovi controlli vengono eseguiti inizialmente solo a scopo informativo per stabilire una baseline e misurare il tasso di falsi positivi. Solo dopo l'analisi e la messa a punto un controllo passa a bloccare la build - e solo per le gravità che
SKILL.md · 242 righe · download immediato
// cosa contiene
Cosa c'è in questo skill
Shift-left: SAST, DAST, SCA e scansione delle dipendenze
Scansione dei segreti, gestione dei segreti (Vault), scansione dei container
Sicurezza IaC, catena di approvvigionamento (SBOM, firma), controlli di sicurezza CI
Modellazione delle minacce (STRIDE), principio del privilegio minimo, OWASP Top 10
Team DevSecOps e delle piattaforme che vogliono veri controlli di sicurezza nella CI, configurati per non bloccarsi a causa del rumore.
// due modi per averlo
Usalo dentro la tua IA, oppure scaricalo una volta.
Piano Library
Questo skill e altri 2.500+, dentro la tua chat
$9/mesedisdici quando vuoi, oppure $59 all'anno
Tutti i 2.500+ skill, pacchetti di prompt e agenti, caricati appena li chiedi
Niente da scaricare o incollare: collega una volta in Claude, ChatGPT, Claude Code o Cursor
Nuovi skill ogni settimana e 10 file del catalogo al mese da scaricare
Marchi dei rispettivi proprietari. KissMySkills non è affiliato né approvato da loro.
// chiedi al tuo assistente
Oppure lascia che la tua IA configuri questo skill per te.
Vai su kissmyskills.com/pages/connector e configurami lo skill "Skill AI per ingegnere DevSecOps - Ivan" (handle: ivan-devsecops-engineer)
Incollalo in Claude, ChatGPT, Claude Code, Cursor o Codex. La tua IA ti guida nel collegare KissMySkills (circa 3 minuti, prova gratuita di 7 giorni) e carica lo skill. Cosa leggerà la tua IA →
Cosa compri davvero
Inserisci Ivan in Claude e ottieni un senior DevSecOps engineer che adotta un approccio shift-left, integra i controlli SAST, DAST e SCA nella CI e modella le minacce per le funzionalità.
Ivan integra la sicurezza nel ciclo di vita dello sviluppo del software (SDLC): adotta un approccio shift-left, configura controlli SAST/DAST/SCA e la scansione delle dipendenze, la scansione e la gestione dei segreti (Vault), la scansione dei container e delle immagini, la scansione di sicurezza IaC, la sicurezza della catena di fornitura (SBOM, firma), i controlli di sicurezza nella CI/CD, la modellazione delle minacce (STRIDE), il minimo privilegio e la consapevolezza dell'OWASP Top 10. Questa skill è esclusivamente difensiva. Testa sempre i controlli di sicurezza in una pipeline non di produzione, ottimizzali per evitare blocchi dovuti a falsi positivi e attiva i controlli gradualmente.
Cosa ottieni
→Shift-left: SAST, DAST, SCA e scansione delle dipendenze
→Scansione dei segreti, gestione dei segreti (Vault), scansione dei container
→Sicurezza IaC, catena di fornitura (SBOM, firma), controlli di sicurezza nella CI
→Modellazione delle minacce (STRIDE), minimo privilegio, OWASP Top 10
Verifica delle dipendenze e piano di aggiornamento
Oltre alla scansione nella CI, Ivan verifica le dipendenze che già distribuisci e trasforma i risultati in un piano di aggiornamento che il tuo team può seguire.
Inventario e SBOM: ogni manifest, lockfile, immagine di base e azione CI per repository, con un SBOM per ogni elemento distribuibile
Verifica del pinning: lockfile sottoposti a commit, installazioni bloccate nella CI, immagini fissate tramite digest, azioni fissate tramite SHA del commit e protezioni contro la confusione delle dipendenze
Valutazione del rischio reale: risultati classificati da P0 a P3 in base a KEV, raggiungibilità, EPSS e CVSS, oltre a pacchetti non mantenuti, inutilizzati o con rischi di licenza
Piano di aggiornamento e patch: patch-now, planned-major, replace e accept raggruppati per responsabile, poi Dependabot o Renovate per la gestione ordinaria
📄 ivan-devsecops-engineer.skillInstallazione in meno di 2 minutiFunziona con Claude, ChatGPT e qualsiasi chat AI
Come installare
Scarica il pacchetto .skill → apri Claude → incolla SKILL.md nelle istruzioni del progetto o nel prompt di sistema → descrivi il tuo requisito → Ivan crea la risposta. Include un esempio completo e svolto, così puoi vedere esattamente cosa ottieni.
// come installare
Meno di 2 minuti
Quattro passaggi. Qualsiasi chat AI.
01
Scarica il file
Dopo l’acquisto, il link per il download arriva nella tua casella email. Salva il file .skill: Claude lo accetta così com’è.
02
Apri la tua chat AI
Qualsiasi chat IA che usi già: Claude, ChatGPT, Gemini, Grok, Copilot o un’altra.
03
Aggiungilo alla tua IA
Claude: in Settings → Capabilities → Skills, carica il file .skill. ChatGPT, Gemini e altri: apri il file .skill come un archivio .zip e incolla SKILL.md nelle istruzioni personalizzate o del progetto.
04
Inizia a lavorare
La tua AI è ora configurata come specialista. Chiedile qualsiasi cosa nell’ambito di sua competenza.
Non è richiesta alcuna conoscenza tecnica.
Con Library non c’è niente da scaricare. Collega la tua IA una volta, poi chiedi: «Carica Skill AI per ingegnere DevSecOps da KissMySkills».
Integra la sicurezza nel ciclo di vita dello sviluppo del software (SDLC): controlli SAST/DAST/SCA, scansione di segreti e container, threat modeling. Caricala una volta in Claude Projects e otterrai un DevSecOps Engineer configurato, senza dover rispiegare il contesto all'inizio di ogni sessione. Sviluppa sempre su un branch con test, esegui tutto in CI su un ambiente di staging con revisione del codice e promuovi in produzione solo dopo test e approvazioni; non distribuire mai direttamente in produzione modifiche non testate.
Un'AI skill può verificare le dipendenze del mio progetto e pianificare gli aggiornamenti?+
Sì. Ivan utilizza i tuoi lockfile, l'SBOM e l'output delle scansioni SCA e produce un report di audit delle dipendenze, oltre a un piano di aggiornamento e applicazione delle patch suddiviso in batch, con responsabili e date. Non inventa mai versioni o ID CVE a memoria; tutto ciò che non hai ancora eseguito viene contrassegnato perché tu lo completi.
Come installo questo file skill?+
Scarica il pacchetto .skill (contiene SKILL.md), incolla il contenuto nelle istruzioni di Claude Projects o nel prompt di sistema della tua AI, aggiungi il tuo contesto e avvia la prima sessione. Funziona con Claude, ChatGPT o qualsiasi chat AI che accetti prompt di sistema.
Con quali strumenti di AI funziona questa skill?+
Funziona con Claude (consigliato), ChatGPT, Gemini, Perplexity e Copilot, oltre che con qualsiasi chat AI che accetti prompt di sistema. Claude Projects offre i risultati migliori.
Pronto a specializzare la tua AI?
Questo e altri 2.500+, dentro Claude, ChatGPT, Claude Code, Codex o Cursor. Disdici quando vuoi.