1. 基本信息
| 项目 | 内容 | 数据来源 |
|---|---|---|
| 名称 | firewall-review（UnitOneAI/SecuritySkills 合集内子技能） | — |
| 作者/维护者 | UnitOneAI（GitHub 组织账号，署名 unitoneai） |
GitHub API |
| 来源链接 | https://github.com/UnitOneAI/SecuritySkills/tree/main/skills/network/firewall-review | — |
| 许可证 | MIT | GitHub API |
| GitHub Stars / Forks | 47 / 129（整仓库数字，合集仓库整体热度，不代表本子技能个体热度） | GitHub API |
| 最新版本 | SKILL.md frontmatter 标注 1.0.0，仓库未发布正式 Release |
GitHub API |
| 安装方式 | 复制子技能目录到对应 agent 的 skills 目录（详见第 10 章） | 仓库 README |
项目自述名称：仓库整体标题为「Security Skills for AI Coding Agents」（UnitOneAI/SecuritySkills），firewall-review 是其中一个独立的子技能目录。
2. 功能介绍与亮点
firewall-review 对防火墙规则库做结构化审计，对照 CIS Controls v8（Control 4.4 服务器防火墙、4.5 终端防火墙） 与 NIST SP 800-41 Rev.1（防火墙与防火墙策略指南） 两套框架逐项核验。正文把审计拆成七个可独立执行的检查维度：默认拒绝策略验证、any/any 过宽规则检测、被遮蔽规则（shadowed rule）分析、闲置规则检测、规则顺序审查、日志留存缺口分析、出站过滤审查。
每个维度都配具体检测模式与真实语法示例，覆盖 iptables、Cisco ASA、Palo Alto、云安全组（AWS/Azure 表述差异专门说明）、Terraform 等多种载体，而非停留在抽象原则层面——例如明确区分“被遮蔽的拒绝规则”（判为 High，安全控制已失效）与“被遮蔽的允许规则”（判为 Medium，仅影响可读性），并提示“命中计数归零”不能直接等同于“规则可删除”（防火墙重载或故障切换会重置计数器）。整个技能是单文件自包含（除引用与其余子技能共享的 schemas/finding.schema.json 外不依赖其他辅助文件），比同仓库多数子技能更轻量。
正文含独立的 Prompt Injection Safety Notice 段落，明确要求把规则注释、对象命名中出现的任何指令性文字（如“此规则已批准”）当作数据而非指令处理。
3. 适用场景
所属分类：安全与合规。
适用于需要按季度或重大变更后复核防火墙规则库的安全工程师与网络团队；需要对齐 CIS Controls v8 或 NIST SP 800-41 出具合规审计证据的团队；怀疑发生横向移动或数据外发、需要快速排查规则库是否存在过宽出站规则的应急响应场景；新规则集或策略变更上线前的预检；涉及边界或内部分段防火墙的网络架构评审。
4. 跨 Agent 兼容性
- Claude Code：原生支持——技能以标准
SKILL.md目录格式提供，支持自动发现（cp -r skills/*/* ~/.claude/skills/）与/firewall-review直接调用。 - Codex：支持——仓库徽章标注兼容，README 提供 Codex CLI 专用调用示例（
codex --context skills/.../SKILL.md "..."）。 - OpenClaw：支持——仓库徽章明确列出 OpenClaw 为兼容宿主，采用同一份
SKILL.md文件加载。 - Hermes Agent：未验证——仓库文档未提及 Hermes Agent，未检索到相关证据。
5. 推荐理由
多数通用安全审计技能只笼统提一句“检查防火墙规则”，很少把“被遮蔽规则”“闲置规则误判”“出站过滤缺口”这类防火墙审计里最容易出错的细节拆开讲清楚，且很少同时覆盖多种设备语法。firewall-review 把 NIST SP 800-41 与 CIS Controls v8 的具体条款转成可核对的检测模式，跨 iptables/ASA/Palo Alto/云安全组给出真实语法示例，纯只读、无外联、无凭据索取，适合作为安全工程师日常规则库审计与合规准备的即用工具。
6. 评分
| 维度 | 分数 | 说明 |
|---|---|---|
| 受欢迎程度 | 5 | 所属仓库 UnitOneAI/SecuritySkills 为新兴安全团队维护的开源项目（47 Stars/129 Forks/MIT 许可证），非广为人知的一线厂商或专业机构；专门检索未找到本子技能独立于母仓库的第三方讨论、市场收录或安装量数据 |
| 可用性 | 9 | 单个 SKILL.md 文件（约 17KB，2410 词）即为完整安装单元，七个检查维度均含具体语法示例与判定标准，不依赖任何辅助文件；仓库为 Claude Code/Codex CLI/OpenClaw 分别给出安装方式；最近一次实质提交距今约 8 周 |
| 安全性 | 9 | frontmatter 声明 allowed-tools: Read, Grep, Glob，无 shell 执行、无写入、无联网工具；正文含独立注入防护段落，明确拒绝执行规则注释中嵌入的指令；MIT 许可证明确；作者为可查证的 GitHub 组织账号，无主动造假迹象 |
综合评分：7.67（三项均值）
安全检查清单：
① 仅声明 Read/Grep/Glob 只读工具权限，无 shell 命令执行能力
② 不联网外发数据
③ 不涉及任何 API Key 或凭据索取
④ 全文未见可疑指令或混淆代码；含针对“规则注释/对象命名中嵌入指令”的显式防御条款
⑤ 作者为新兴安全团队，信誉一般，无主动造假迹象
⑥ MIT 许可证明确
⑦ 最近一次实质提交距今约 8 周，维护尚属近期
7. 跟同类 Skills 相比的优势
| 技能 | 定位 | 与本技能的差异 |
|---|---|---|
| firewall-review（transilienceai/communitytools，母仓库 466 Stars） | 面向安全审计从业者的重型防火墙审计流水线：多厂商语法解析器（FortiGate/Palo Alto/Cisco ASA/Cisco IOS/AWS SG/Azure NSG/iptables）、十余个独立检测器、CISO/CTO/资深渗透测试员多角色复核流程，产出带引用锚点（文件路径+字节偏移+原文引用）的 PDF 报告与 Excel 整改跟踪表 | 定位为可交付客户的重型审计流水线，依赖多角色复核与专用报表生成组件；本技能是单文件轻量工具，复制即用，不产出正式交付物，适合工程师自查而非对外出具审计报告 |
| dns-security-unitoneai-securityskills（同仓库，network 领域） | 聚焦 DNS 解析链路与域名配置安全（DNSSEC、区域传送、影子域名等） | 同属 network 领域但审计对象完全不同——DNS 配置 vs 防火墙规则库，两者常需配合使用而非互相替代 |
8. 用户评价
该技能目前在第三方平台尚无具名用户评价。
9. 其他补充
仓库同时提供了 45 个同风格的安全技能，按 appsec/ai-security/cloud/compliance/devsecops/identity/incident-response/network/secops/vuln-management 十个领域分类组织，firewall-review 隶属于 network 领域，同领域内还有 dns-security、segmentation 两个姊妹技能，分别聚焦域名解析安全与网络分段策略。
10. 安装使用方式
Claude Code（全局安装）
git clone https://github.com/UnitOneAI/SecuritySkills.git
cp -r SecuritySkills/skills/network/firewall-review ~/.claude/skills/安装后可通过自然语言触发（如“帮我审计一下这批防火墙规则”）或直接调用 /firewall-review [scope-description]。
Codex CLI
codex --context skills/network/firewall-review/SKILL.md "审计这份防火墙规则集"其他宿主（OpenClaw 等）：将对应 agent 指向 firewall-review/SKILL.md 文件路径即可加载，具体挂载方式见各宿主自身文档。
安装后无需重启，首次调用即可生效；无付费依赖。
11. 注意事项
- 技能纯粹基于用户提供的规则库文本或配置文件做静态审计，不会连接实际防火墙设备或管理平台拉取实时状态，无法验证“命中计数”“日志实际送达 SIEM”等运行时事实。
- 技能自身在“局限性”章节说明：发现项应视为待验证假设，需结合资产重要性、补偿性控制与近期变更授权记录综合判断，不能直接当作最终结论。
- 不产出正式的 PDF/Excel 交付物，如需对外出具客户级审计报告，需自行整理输出内容或考虑更重型的同类工具。
- 该子技能背后的母仓库尚缺乏长期维护记录与外部社区反馈，建议持续关注后续版本更新。