Anwendungssicherheit

Die 31 Agenten dieser Kategorie prüfen den Sicherheitszustand von Web- und API-Anwendungen auf Code-Ebene. Sie verfolgen nutzerkontrollierte Daten von der Quelle bis zum gefährlichen Sink, bewerten Login- und Autorisierungs-Flows, sichten SAST-Befunde und durchsuchen Repositories nach exponierten Schlüsseln. Jeder Agent arbeitet nach einem festen Output-Vertrag und belegt jeden Befund mit Datei, Zeile und Datenfluss statt mit pauschalen Urteilen.

Neben der Prüfung bestehender Codebasen decken die Agenten Härtung und Betrieb ab: TLS-, CORS- und Security-Header-Konfiguration, Session- und Cookie-Absicherung, Verschlüsselung ruhender Daten sowie MFA- und RBAC-Konzepte. Für den Ernstfall liefern eigene Agenten Threat-Models, Pentest-Pläne, Incident-Runbooks und einen koordinierten Disclosure-Prozess. Alle Agenten sind Teil des Keyvarn OS mit 1.020 Spezialisten in 40 Kategorien.

Typische Aufgaben

• Eine Flask-Route auf SQL- und Command-Injection prüfen: kv-sec-injection-audit verfolgt den Datenfluss von Query-Parameter bis Datenbank und liefert parametrisierte Fix-Patches.
• Prüfen, ob ein eingeloggter Nutzer über eine geänderte Objekt-ID fremde Rechnungen abruft — kv-sec-authz-review deckt fehlende Ownership-Checks mit Angriffsszenario und Korrektur auf.
• Ein Repository und seine Git-Historie mit kv-sec-secret-scanning nach geleakten Keys durchsuchen und mit kv-sec-dependency-audit verwundbare npm-/pip-Pakete samt Upgrade-Pfad melden.
• Vor dem Launch ein STRIDE-Threat-Model mit kv-sec-threat-model erstellen und mit kv-sec-csp-headers und kv-sec-tls-config die Header- und TLS-Konfiguration härten.

Alle 31 Agenten in kv-sec

Jede Zeile ist eine Datei im ausgelieferten Paket — Name identisch mit dem Ordner im Download.

• kv-sec-attack-surface-mapping Kartiert die Angriffsfläche und inventarisiert extern erreichbare Endpunkte mit Auth-Status je Eintrag.
• kv-sec-audit-logging Erstellt ein Audit-Logging-Konzept mit protokollpflichtigen Events, Feldschema und Aufbewahrungsregeln.
• kv-sec-authn-review Prüft Login-Flow, Passwort-Hashing, Session-Lifecycle und Account-Recovery samt Brute-Force-Schutz.
• kv-sec-authz-review Prüft Broken Access Control und IDOR und deckt Objekt- und Funktionszugriffe ohne Ownership-Check auf.
• kv-sec-cors-review Bewertet die CORS-Konfiguration inklusive Wildcard-Origin mit Credentials und liefert eine sichere Vorlage.
• kv-sec-crypto-review Prüft die Verschlüsselung auf schwache Algorithmen wie MD5 oder ECB sowie fehlerhafte IV/Key-Nutzung.
• kv-sec-csp-headers Erstellt ein Security-Header-Set mit CSP, X-Frame-Options, Referrer- und Permissions-Policy samt Rollout.
• kv-sec-csrf-protection Analysiert ungeschützte zustandsändernde Requests und liefert eine Token- und SameSite-Cookie-Strategie.
• kv-sec-data-at-rest Klassifiziert Datenfelder und empfiehlt Verschlüsselungs-Layer je Speicherort samt Schlüssel-Verwaltung.
• kv-sec-dependency-audit Prüft npm- und pip-Abhängigkeiten auf CVEs und liefert einen priorisierten Bericht mit Upgrade-Pfaden.
• kv-sec-file-upload-security Plant sichere Datei-Uploads mit Typ- und Größenprüfung, Pfad-Normalisierung und Malware-Scan-Hinweis.
• kv-sec-incident-runbook Erstellt ein phasenbasiertes Incident-Runbook mit Rollen und Eskalationspfaden für Datenlecks und Zugänge.
• kv-sec-injection-audit Verfolgt nutzerkontrollierte Daten von Source zu Sink und liefert markierte Schwachstellen mit Fix-Patches.
• kv-sec-input-validation Liefert Allowlist-Schemata je Eintrittspunkt mit Typ- und Bereichsregeln und Schutz gegen Mass-Assignment.
• kv-sec-jwt-token-review Prüft JWT-Signatur, Algorithmus-Whitelist, Claims, Ablauf und Widerruf und bewertet das alg=none-Risiko.
• kv-sec-mfa-design Konzipiert MFA mit Faktor-Auswahl, Enrollment, Recovery und Schutz gegen Phishing und MFA-Fatigue.
• kv-sec-oauth-flow-review Prüft OAuth/OIDC-Flows: Grant-Typ, Redirect-Whitelist, State/PKCE, Scope-Minimierung und Token-Storage.
• kv-sec-pentest-plan Erstellt einen Pentest-Plan mit Scope, Regeln, priorisierter OWASP-Test-Matrix und Reporting-Vorlage.
• kv-sec-rbac-model Entwirft eine RBAC/ABAC-Matrix nach Least-Privilege mit Migrationspfad vom Ist- zum Soll-Zustand.
• kv-sec-sast-triage Sichtet Semgrep-, CodeQL- und SAST-Findings und trennt echte Defekte nach Ausnutzbarkeit vom Rauschen.
• kv-sec-secret-scanning Durchsucht Code und Git-Historie nach geleakten Keys und liefert verifizierte Treffer mit Remediation.
• kv-sec-secrets-management Erstellt einen Secrets-Management-Plan mit Klartext-Inventar, Vault/Env-Strategie und Rotations-Prozess.
• kv-sec-secure-defaults Erstellt eine Hardening-Checkliste je Komponente mit Ist-, Soll-Zustand und Verifikationsschritten.
• kv-sec-secure-design-review Prüft eine Architektur sicherheitstechnisch und liefert einen Design-Review mit Go/No-Go-Empfehlung.
• kv-sec-session-hardening Härtet Sessions mit Cookie-Flags, Fixation-Schutz, Rotation sowie Idle- und Absolute-Timeouts.
• kv-sec-ssrf-defense Findet verwundbare Fetch-Stellen und liefert Allowlist-Design, DNS-Rebinding-Schutz und Egress-Regeln.
• kv-sec-supply-chain-hardening Härtet die Build-Pipeline gegen Dependency-Confusion und führt SBOM und Artefakt-Signierung ein.
• kv-sec-threat-model Erstellt ein STRIDE-Threat-Model mit priorisierten Gegenmaßnahmen je Trust-Boundary und Datenfluss.
• kv-sec-tls-config Härtet TLS mit Protokoll-Whitelist, Cipher-Auswahl, HSTS-Policy und Zertifikat-Pinning-Empfehlung.
• kv-sec-vuln-disclosure Richtet einen koordinierten Disclosure-Prozess mit Security.txt und Policy für CVE-Reports ein.
• kv-sec-xss-prevention Prüft Templates und Render-Stellen auf XSS und liefert kontextbezogenes Output-Encoding und CSP-Vorschlag.