clawhub install afrexai-soc2-evidence-collector

SOC2 证据收集器

为 SOC2 Type I 和 Type II 审计，在所有 5 项信任服务标准中自动化证据收集。

何时使用

• 为即将到来的 SOC2 审计（Type I 或 Type II）做准备
• 构建持续合规证据流水线
• 审计员要求提供证据，需要快速收集
• 新客户需要 SOC2 合规证明
• 年度证据更新周期
• 在聘请审计公司之前进行差距分析

输入信息

在生成之前向用户收集以下信息：

必需

1. 审计类型：Type I（时间点）或 Type II（一段时间，通常为 3-12 个月）
2. 范围内的信任服务标准：安全性（CC — 始终必需），以及以下任一项：可用性、处理完整性、保密性、隐私性
3. 云服务提供商：AWS、GCP、Azure、多云、本地部署、混合云
4. 主要技术栈：语言、框架、CI/CD、基础设施即代码工具
5. 团队规模：工程 + 运维人员数量

可选

• 当前合规认证（ISO 27001, HIPAA, PCI-DSS 等）
• 审计公司名称和时间表
• 之前的审计发现或差距
• 已映射的特定控制框架（NIST 800-53, CIS 等）
• 单点登录/身份提供商（Okta, Azure AD, Google Workspace 等）

证据类别

CC — 通用标准（安全性） — 始终在范围内

CC1：控制环境

CC2：沟通与信息

CC3：风险评估

CC4：监控活动

CC5：控制活动

CC6：逻辑和物理访问控制

CC7：系统操作

CC8：变更管理

CC9：风险缓解

A — 可用性（如果在范围内）

PI — 处理完整性（如果在范围内）

C — 保密性（如果在范围内）

P — 隐私性（如果在范围内）

自动化脚本

识别用户的技术栈后，生成用于自动化证据收集的 Shell 脚本：

AWS 证据收集（示例）

#!/bin/bash
# SOC2 证据收集器 — AWS
# 由 AfrexAI SOC2 证据收集技能生成
set -euo pipefail

EVIDENCE_DIR="soc2-evidence/$(date +%Y-%m-%d)"
mkdir -p "$EVIDENCE_DIR"/{iam,network,encryption,logging,compute}

echo "=== CC5: 访问控制 ==="
aws iam get-account-summary > "$EVIDENCE_DIR/iam/account-summary.json"
aws iam generate-credential-report && sleep 5
aws iam get-credential-report --output text --query Content | base64 -d > "$EVIDENCE_DIR/iam/credential-report.csv"
aws iam list-users --output json > "$EVIDENCE_DIR/iam/users.json"
aws iam list-policies --scope Local --output json > "$EVIDENCE_DIR/iam/custom-policies.json"

echo "=== CC5: 静态加密 ==="
aws rds describe-db-instances --query 'DBInstances[*].{ID:DBInstanceIdentifier,Encrypted:StorageEncrypted,KmsKey:KmsKeyId}' > "$EVIDENCE_DIR/encryption/rds-encryption.json"
aws s3api list-buckets --query 'Buckets[*].Name' --output text | tr '\t' '\n' | while read bucket; do
  aws s3api get-bucket-encryption --bucket "$bucket" >> "$EVIDENCE_DIR/encryption/s3-encryption.json" 2>/dev/null || echo "{\"bucket\":\"$bucket\",\"encryption\":\"NONE\"}" >> "$EVIDENCE_DIR/encryption/s3-encryption.json"
done

echo "=== CC4: 日志记录 ==="
aws cloudtrail describe-trails > "$EVIDENCE_DIR/logging/cloudtrail-config.json"
aws cloudwatch describe-alarms --state-value ALARM > "$EVIDENCE_DIR/logging/active-alarms.json"

echo "=== CC5: 网络安全 ==="
aws ec2 describe-security-groups > "$EVIDENCE_DIR/network/security-groups.json"
aws ec2 describe-vpcs > "$EVIDENCE_DIR/network/vpcs.json"

echo "=== CC6: MFA 状态 ==="
aws iam list-virtual-mfa-devices > "$EVIDENCE_DIR/iam/mfa-devices.json"

echo "证据已收集到 $EVIDENCE_DIR"
echo "在与审计员共享之前，请审查并编辑敏感值。"

GitHub 证据收集（示例）

#!/bin/bash
# SOC2 证据收集器 — GitHub
set -euo pipefail

ORG="${1:?Usage: $0 <github-org>}"
EVIDENCE_DIR="soc2-evidence/$(date +%Y-%m-%d)/github"
mkdir -p "$EVIDENCE_DIR"

echo "=== CC8: 分支保护 ==="
gh api "/orgs/$ORG/repos" --paginate --jq '.[].name' | while read repo; do
  gh api "/repos/$ORG/$repo/branches/main/protection" 2>/dev/null > "$EVIDENCE_DIR/${repo}-branch-protection.json" || true
done

echo "=== CC7: 近期部署 ==="
gh api "/orgs/$ORG/repos" --paginate --jq '.[].name' | head -10 | while read repo; do
  gh api "/repos/$ORG/$repo/deployments?per_page=10" > "$EVIDENCE_DIR/${repo}-deployments.json" 2>/dev/null || true
done

echo "=== CC8: 拉取请求审查证据 ==="
gh api "/orgs/$ORG/repos" --paginate --jq '.[].name' | head -10 | while read repo; do
  gh pr list --repo "$ORG/$repo" --state merged --limit 20 --json number,title,mergedAt,reviewDecision > "$EVIDENCE_DIR/${repo}-merged-prs.json" 2>/dev/null || true
done

echo "=== CC5: 组织安全设置 ==="
gh api "/orgs/$ORG" --jq '{two_factor_requirement: .two_factor_requirement_enabled, default_permissions: .default_repository_permission}' > "$EVIDENCE_DIR/org-security.json"

echo "证据已收集到 $EVIDENCE_DIR"

输出格式

生成结构化的证据包：

soc2-evidence/
├── README.md                    # 概述、范围、期间、审计员信息
├── evidence-matrix.md           # 完整检查清单，包含状态（已收集/待处理/不适用）
├── collection-scripts/
│   ├── collect-aws.sh
│   ├── collect-github.sh
│   ├── collect-idp.sh
│   └── collect-monitoring.sh
├── gap-analysis.md              # 缺失证据 + 修复步骤
└── schedule.md                  # 证据收集时间表（何时刷新什么）

evidence-matrix.md 格式

| # | 控制点 | 证据 | 状态 | 来源 | 最后收集时间 | 备注 |
|---|---------|----------|--------|--------|---------------|-------|
| CC1.1 | 组织架构图 | org-chart-2026-Q1.pdf | ✅ 已收集 | 人力资源导出 | 2026-01-15 | |
| CC5.3 | MFA 强制 | mfa-config.json | ✅ 自动化 | 身份提供商 API | 2026-03-17 | 脚本：collect-idp.sh |
| CC3.2 | 渗透测试报告 | — | ⏳ 待处理 | 外部供应商 | — | 截止日期 2026-04-01 |

工作流程

1. 收集输入信息（审计类型、范围、技术栈、团队规模）
2. 为范围内的标准生成完整的证据矩阵
3. 根据其技术栈标记已知证据来源
4. 生成用于自动收集的收集脚本
5. 识别差距并生成修复建议
6. 创建证据收集时间表（每日/每周/每月/每季度）
7. 输出完整的证据包

给用户的提示

• 在审计前 3-6 个月开始：填补证据差距需要时间
• 尽早自动化：每月运行的脚本可避免审计前的恐慌
• 对所有内容进行版本控制：审计员喜欢看到变更历史
• 不要伪造：缺失证据比伪造证据更好
• 持续性 > 时间点：Type II 需要审计期间的持续证据
• 标记证据：使用一致的命名，以便审计员可以自助服务

AfrexAI 备注

此技能生成框架和自动化脚手架。如需由托管 AI 智能体处理持续证据收集、监控和审计员协调的实战化 SOC2 审计准备 — 这正是 AfrexAI 的 AI 即服务所提供的。联系我们：hello@afrexai.com。