Skill: orca-sec-scans

WHAT

Purpose và context

• Purpose: Một luồng quét bảo mật static, chỉ-đọc (Trivy không sửa mã khi quét), dùng được local lẫn CI/Jenkins. Bao trùm: dependency CVE (Go/Node/Python lockfile), misconfig (Dockerfile/compose/nginx), và secret lộ trong file. Ngoài lớp static đó còn hai lớp: quét ĐỘNG kiểm chứng giả định mặc định của dev bằng request thật, và quét RA NGOÀI (chuỗi cung ứng/thương hiệu, keyless).
• Trigger (when to use):
  • User nói "quét bảo mật", "scan", "trivy", "check CVE", "security scan", "có lỗ hổng không"
  • Trước khi release / merge nhánh deploy
  • Định kỳ trong CI (trivy fs . --config trivy.yaml --exit-code 1)
  • Diff rơi vào bảng Trigger-conditions (auth, input người dùng, secret, endpoint mới, thanh toán/dữ liệu nhạy cảm, đưa app ra public domain) → BẮT BUỘC scan; user nói "có lỗ hổng không", "an toàn chưa" → luôn là trigger.
• Non-goals: không auto-bump hàng loạt khi submodule có thay đổi chưa commit; không xoá finding khỏi report (chấp nhận thì ghi .trivyignore); không commit report lên server deploy; không điều tra mối đe doạ ngoài diện rộng kiểu cti-expert (chỉ mẩu supply-watch keyless).

Mental model

Trivy có chưa? → scope (lockfile) → quét static HIGH/CRITICAL → report JSON+HTML → tóm tắt + đề xuất fix → re-scan NONE, song song giả định dev → request thật (curl/dig/git diff) → xác nhận hoặc lỗ hổng, cộng tuỳ chọn tên thương hiệu → biến thể tất định → DNS sống + CT log. Static sạch KHÔNG có nghĩa là an toàn.