code-ai-installer 3.0.0 → 4.0.1-a

package/domains/development/.agents/skills/board/agents/claude.json

@@ -1,16 +1,16 @@
-{
-  "name": "board",
-  "display_name": "Проектная доска",
-  "description": "Управление Project Board — создание задач с ID, статусы ☐/⏳/☑/⚠️, обновления после каждого шага, видимый чек-лист в каждом сообщении дирижёра.",
-  "default_prompt": "Используй $board, когда задача относится к навыку \"Проектная доска\".",
-  "triggers": [
-    "board",
-    "Проектная доска",
-    "Управление Project Board — создание задач с ID, статусы ☐/⏳/☑/⚠️, обновления после каждого шага, видимый чек-лист в каждом сообщении дирижёра"
-  ],
-  "capabilities": [
-    "board"
-  ],
-  "tools": [],
-  "implicit_invocation": true
-}
+{
+  "name": "board",
+  "display_name": "Проектная доска",
+  "description": "Управление Project Board — создание задач с ID, статусы ☐/⏳/☑/❌/⚠️, обновления после каждого шага, видимый чек-лист в каждом сообщении дирижёра.",
+  "default_prompt": "Используй $board, когда задача относится к навыку \"Проектная доска\".",
+  "triggers": [
+    "board",
+    "Проектная доска",
+    "Управление Project Board — создание задач с ID, статусы ☐/⏳/☑/❌/⚠️, обновления после каждого шага, видимый чек-лист в каждом сообщении дирижёра"
+  ],
+  "capabilities": [
+    "board"
+  ],
+  "tools": [],
+  "implicit_invocation": true
+}

package/domains/development/.agents/skills/board/agents/copilot.json

@@ -1,16 +1,16 @@
-{
-  "name": "board",
-  "display_name": "Проектная доска",
-  "description": "Управление Project Board — создание задач с ID, статусы ☐/⏳/☑/⚠️, обновления после каждого шага, видимый чек-лист в каждом сообщении дирижёра.",
-  "default_prompt": "Используй $board, когда задача относится к навыку \"Проектная доска\".",
-  "triggers": [
-    "board",
-    "Проектная доска",
-    "Управление Project Board — создание задач с ID, статусы ☐/⏳/☑/⚠️, обновления после каждого шага, видимый чек-лист в каждом сообщении дирижёра"
-  ],
-  "capabilities": [
-    "board"
-  ],
-  "tools": [],
-  "implicit_invocation": true
-}
+{
+  "name": "board",
+  "display_name": "Проектная доска",
+  "description": "Управление Project Board — создание задач с ID, статусы ☐/⏳/☑/❌/⚠️, обновления после каждого шага, видимый чек-лист в каждом сообщении дирижёра.",
+  "default_prompt": "Используй $board, когда задача относится к навыку \"Проектная доска\".",
+  "triggers": [
+    "board",
+    "Проектная доска",
+    "Управление Project Board — создание задач с ID, статусы ☐/⏳/☑/❌/⚠️, обновления после каждого шага, видимый чек-лист в каждом сообщении дирижёра"
+  ],
+  "capabilities": [
+    "board"
+  ],
+  "tools": [],
+  "implicit_invocation": true
+}

package/domains/development/.agents/skills/board/agents/gemini.json

@@ -1,16 +1,16 @@
-{
-  "name": "board",
-  "display_name": "Проектная доска",
-  "description": "Управление Project Board — создание задач с ID, статусы ☐/⏳/☑/⚠️, обновления после каждого шага, видимый чек-лист в каждом сообщении дирижёра.",
-  "default_prompt": "Используй $board, когда задача относится к навыку \"Проектная доска\".",
-  "triggers": [
-    "board",
-    "Проектная доска",
-    "Управление Project Board — создание задач с ID, статусы ☐/⏳/☑/⚠️, обновления после каждого шага, видимый чек-лист в каждом сообщении дирижёра"
-  ],
-  "capabilities": [
-    "board"
-  ],
-  "tools": [],
-  "implicit_invocation": true
-}
+{
+  "name": "board",
+  "display_name": "Проектная доска",
+  "description": "Управление Project Board — создание задач с ID, статусы ☐/⏳/☑/❌/⚠️, обновления после каждого шага, видимый чек-лист в каждом сообщении дирижёра.",
+  "default_prompt": "Используй $board, когда задача относится к навыку \"Проектная доска\".",
+  "triggers": [
+    "board",
+    "Проектная доска",
+    "Управление Project Board — создание задач с ID, статусы ☐/⏳/☑/❌/⚠️, обновления после каждого шага, видимый чек-лист в каждом сообщении дирижёра"
+  ],
+  "capabilities": [
+    "board"
+  ],
+  "tools": [],
+  "implicit_invocation": true
+}

package/domains/development/.agents/skills/board/agents/kimi.yaml

@@ -1,11 +1,11 @@
 name: "board"
 display_name: "Проектная доска"
-description: "Управление Project Board — создание задач с ID, статусы ☐/⏳/☑/⚠️, обновления после каждого шага, видимый чек-лист в каждом сообщении дирижёра."
+description: "Управление Project Board — создание задач с ID, статусы ☐/⏳/☑/❌/⚠️, обновления после каждого шага, видимый чек-лист в каждом сообщении дирижёра."
 default_prompt: "Используй $board, когда задача относится к навыку \"Проектная доска\"."
 triggers:
   - "board"
   - "Проектная доска"
-  - "Управление Project Board — создание задач с ID, статусы ☐/⏳/☑/⚠️, обновления после каждого шага, видимый чек-лист в каждом сообщении дирижёра"
+  - "Управление Project Board — создание задач с ID, статусы ☐/⏳/☑/❌/⚠️, обновления после каждого шага, видимый чек-лист в каждом сообщении дирижёра"
 capabilities:
   - "board"
 tools: []

package/domains/development/.agents/skills/board/agents/openai.yaml

@@ -1,8 +1,8 @@
-interface:
-  display_name: "Проектная доска"
-  short_description: "Управление Project Board — создание задач с ID, статусы ☐/⏳/☑/⚠️, обновления после каждого шага…"
-  default_prompt: "Используй $board, когда задача относится к навыку \"Проектная доска\"."
-dependencies:
-  tools: []
-policy:
-  allow_implicit_invocation: true
+interface:
+  display_name: "Проектная доска"
+  short_description: "Управление Project Board — создание задач с ID, статусы ☐/⏳/☑/❌/⚠️, обновления после каждого шага…"
+  default_prompt: "Используй $board, когда задача относится к навыку \"Проектная доска\"."
+dependencies:
+  tools: []
+policy:
+  allow_implicit_invocation: true

package/domains/development/.agents/skills/board/agents/qwen.json

@@ -1,16 +1,16 @@
-{
-  "name": "board",
-  "display_name": "Проектная доска",
-  "description": "Управление Project Board — создание задач с ID, статусы ☐/⏳/☑/⚠️, обновления после каждого шага, видимый чек-лист в каждом сообщении дирижёра.",
-  "default_prompt": "Используй $board, когда задача относится к навыку \"Проектная доска\".",
-  "triggers": [
-    "board",
-    "Проектная доска",
-    "Управление Project Board — создание задач с ID, статусы ☐/⏳/☑/⚠️, обновления после каждого шага, видимый чек-лист в каждом сообщении дирижёра"
-  ],
-  "capabilities": [
-    "board"
-  ],
-  "tools": [],
-  "implicit_invocation": true
-}
+{
+  "name": "board",
+  "display_name": "Проектная доска",
+  "description": "Управление Project Board — создание задач с ID, статусы ☐/⏳/☑/❌/⚠️, обновления после каждого шага, видимый чек-лист в каждом сообщении дирижёра.",
+  "default_prompt": "Используй $board, когда задача относится к навыку \"Проектная доска\".",
+  "triggers": [
+    "board",
+    "Проектная доска",
+    "Управление Project Board — создание задач с ID, статусы ☐/⏳/☑/❌/⚠️, обновления после каждого шага, видимый чек-лист в каждом сообщении дирижёра"
+  ],
+  "capabilities": [
+    "board"
+  ],
+  "tools": [],
+  "implicit_invocation": true
+}

package/domains/development/.agents/skills/board/agents/skill.yaml

@@ -1,20 +1,20 @@
-version: 1
-name: "board"
-display_name: "Проектная доска"
-description: "Управление Project Board — создание задач с ID, статусы ☐/⏳/☑/⚠️, обновления после каждого шага, видимый чек-лист в каждом сообщении дирижёра."
-default_prompt: "Используй $board, когда задача относится к навыку \"Проектная доска\"."
-triggers:
-  - "board"
-  - "Проектная доска"
-  - "Управление Project Board — создание задач с ID, статусы ☐/⏳/☑/⚠️, обновления после каждого шага, видимый чек-лист в каждом сообщении дирижёра"
-capabilities:
-  - "board"
-tools: []
-invocation:
-  explicit: true
-  implicit: true
-localization:
-  default_locale: "ru"
-  available_locales:
-    - "ru"
-    - "en"
+version: 1
+name: "board"
+display_name: "Проектная доска"
+description: "Управление Project Board — создание задач с ID, статусы ☐/⏳/☑/❌/⚠️, обновления после каждого шага, видимый чек-лист в каждом сообщении дирижёра."
+default_prompt: "Используй $board, когда задача относится к навыку \"Проектная доска\"."
+triggers:
+  - "board"
+  - "Проектная доска"
+  - "Управление Project Board — создание задач с ID, статусы ☐/⏳/☑/❌/⚠️, обновления после каждого шага, видимый чек-лист в каждом сообщении дирижёра"
+capabilities:
+  - "board"
+tools: []
+invocation:
+  explicit: true
+  implicit: true
+localization:
+  default_locale: "ru"
+  available_locales:
+    - "ru"
+    - "en"

package/domains/development/.agents/skills/cloud-infrastructure-security/SKILL.md

@@ -1,114 +1,212 @@
 ---
 name: cloud-infrastructure-security
-description: Security ревью облака/инфры/CI/CD — IAM, secrets manager, сеть, логирование/мониторинг, supply chain, CDN/WAF, backup/DR.
+description: "Security ревью облака/инфры/CI/CD — IAM, secrets manager, сеть, логирование/мониторинг, supply chain, CDN/WAF, backup/DR."
+type: discretionary
+domain: development
+owners:
+  - devops
+  - reviewer
+gates:
+  - OPS
+  - REV
+tech: []
+topic:
+  - review
+  - security
+  - ops
+triggers:
+  - безопасность облака
+  - IAM политики
+  - secrets manager
+  - CI/CD security
+  - WAF и CDN
+  - infra audit
+  - backup и DR
+related:
+  - architecture-doc
+  - dependency-supply-chain-review
+  - deployment-ci-plan
+  - deployment-ci-plan-reference
+  - docker-kubernetes-architecture
+  - k8s-manifests-conventions
+  - security-review-baseline
+  - threat-model-baseline
+budget_lines: 500
+schema_version: 1
 ---
 
+
 # Skill: Cloud & Infrastructure Security
 
 Ревью безопасности облачной инфраструктуры, CI/CD и edge.
 
 **Разделы:**
 1. [Когда активировать](#1-когда)
-2. [Checklist](#2-checklist)
-3. [Platform-Specific Examples](#3-examples)
-4. [CI/CD Security Pipeline](#4-cicd)
-5. [Pre-Deployment Gate](#5-pre-deploy)
-6. [Output Template](#6-output)
+2. [Workflow](#2-workflow)
+3. [Checklist (Cloud Security Baseline)](#3-checklist)
+4. [Verification Methods](#4-verification)
+5. [Platform-Specific Examples](#5-examples)
+6. [CI/CD Security Pipeline](#6-cicd)
+7. [Red Flags](#7-red-flags)
+8. [Pre-Deployment Gate](#8-pre-deploy)
+9. [Output Template](#9-output)
 
 ---
 
-## 1. Когда активировать
+## 1. Когда активировать <a id="1-когда"></a>
 
 | Триггер | Focus |
 |---------|-------|
-| Deploy on AWS / GCP / Azure / Vercel / Railway | Full review |
-| IAM policies / roles changed | IAM section |
-| CI/CD pipeline modified | CI/CD section |
-| New infrastructure (Terraform / CloudFormation) | Full review |
-| Secrets management setup | Secrets section |
-| CDN / WAF configuration | CDN/WAF section |
+| Deploy на AWS / GCP / Azure / Vercel / Railway | Full review |
+| IAM политики / роли изменены | IAM section |
+| CI/CD pipeline модифицирован | CI/CD section |
+| Новая инфраструктура (Terraform / CloudFormation) | Full review |
+| Setup secrets management | Secrets section |
+| CDN / WAF конфигурация | CDN/WAF section |
 | Disaster recovery planning | Backup/DR section |
-| Docker / K8s deployment | → also apply `$docker-kubernetes-architecture` |
+| Docker / K8s deployment | → также apply `$docker-kubernetes-architecture` |
+
+---
+
+## 2. Workflow <a id="2-workflow"></a>
+
+```
+1. Получить архитектурный контекст (из $architecture-doc и $deployment-ci-plan)
+   └── Hosting platform, CI/CD tools, внешние сервисы
+
+2. Для каждого домена облачной безопасности:
+   a. IAM & Authentication
+   b. Secrets Management
+   c. Network Security & Boundaries
+   d. Logging & Monitoring
+   e. Compute & Container Security
+   f. CI/CD Supply Chain Security
+
+3. Ревью конфигурационных файлов (IaC, manifests, workflow files)
+   └── Искать hardcoded secrets, misconfigurations
+
+4. Сформировать Security Gap Report (Output Template)
+```
 
 ---
 
-## 2. Checklist
+## 3. Checklist (Cloud Security Baseline) <a id="3-checklist"></a>
+
+### 3.1 IAM & Access Control
+
+| # | Check | Severity | Status |
+|---|-------|----------|--------|
+| INF-01 | Least privilege (no `*` в policies, PoLP enforced для всех ролей) | 🔴 P0 | ☐ |
+| INF-02 | MFA для privileged accounts (admin, deploy, всех console access) | 🔴 P0 | ☐ |
+| INF-03 | Нет root account usage в production | 🔴 P0 | ☐ |
+| INF-04 | Нет shared accounts/credentials | 🔴 P0 | ☐ |
+| INF-05 | Service accounts: one per app, minimal scope, не user credentials для automation | 🟠 P1 | ☐ |
+| INF-06 | Access review: quarterly, remove stale users | 🟠 P1 | ☐ |
+| INF-07 | SSO / federated identity (если org > 5 people) | 🟡 P2 | ☐ |
 
-### 2.1 IAM & Access Control
+### 3.2 Secrets Management
 
 | # | Check | Severity | Status |
 |---|-------|----------|--------|
-| INF-01 | Least privilege (no `*` in policies) | 🔴 P0 | ☐ |
-| INF-02 | MFA for privileged accounts (admin, deploy) | 🔴 P0 | ☐ |
-| INF-03 | No root account usage in production | 🔴 P0 | ☐ |
-| INF-04 | Service accounts: one per app, minimal scope | 🟠 P1 | ☐ |
-| INF-05 | Access review: quarterly, remove stale users | 🟠 P1 | ☐ |
-| INF-06 | SSO / federated identity (if org > 5 people) | 🟡 P2 | ☐ |
+| INF-08 | Platform secret manager (AWS SSM, GCP Secret Manager, Vault, Doppler, GitHub Secrets) | 🔴 P0 | ☐ |
+| INF-09 | Нет hardcoded credentials в source code, Dockerfile, configs | 🔴 P0 | ☐ |
+| INF-10 | Environment variables не exposing secrets (e.g., в React frontend code) | 🔴 P0 | ☐ |
+| INF-11 | Нет secrets в CI logs, build output, Docker images | 🔴 P0 | ☐ |
+| INF-12 | `.env` файлы gitignored, `.env.example` committed | 🔴 P0 | ☐ |
+| INF-13 | Rotation plan для DB credentials (90 дней max) | 🟠 P1 | ☐ |
+| INF-14 | Audit log на secret access | 🟠 P1 | ☐ |
 
-### 2.2 Secrets Management
+### 3.3 Network Security
 
 | # | Check | Severity | Status |
 |---|-------|----------|--------|
-| INF-07 | Platform secret manager (AWS SSM, GCP Secret Manager, Vault, Doppler) | 🟠 P1 | ☐ |
-| INF-08 | Rotation plan for DB credentials (90 days max) | 🟠 P1 | ☐ |
-| INF-09 | Audit log on secret access | 🟠 P1 | ☐ |
-| INF-10 | No secrets in CI logs, build output, Docker images | 🔴 P0 | ☐ |
-| INF-11 | `.env` files gitignored, `.env.example` committed | 🔴 P0 | ☐ |
+| INF-15 | Database не публично accessible | 🔴 P0 | ☐ |
+| INF-16 | Default deny inbound, security groups least privilege (no 0.0.0.0/0 на DB) | 🔴 P0 | ☐ |
+| INF-17 | TLS/HTTPS everywhere, TLS 1.2+ enforced (no plain HTTP в prod) | 🔴 P0 | ☐ |
+| INF-18 | SSH/RDP только через VPN/bastion | 🟠 P1 | ☐ |
+| INF-19 | Internal services: private network only, VPC/subnet isolation | 🟠 P1 | ☐ |
 
-### 2.3 Network Security
+### 3.4 Logging & Monitoring
 
 | # | Check | Severity | Status |
 |---|-------|----------|--------|
-| INF-12 | Database not publicly accessible | 🔴 P0 | ☐ |
-| INF-13 | SSH/RDP only through VPN/bastion | 🟠 P1 | ☐ |
-| INF-14 | Security groups / firewalls: least privilege (no 0.0.0.0/0 on DB) | 🔴 P0 | ☐ |
-| INF-15 | TLS/HTTPS everywhere (no plain HTTP in prod) | 🔴 P0 | ☐ |
-| INF-16 | Internal services: private network only | 🟠 P1 | ☐ |
+| INF-20 | Нет PII/secrets в infrastructure logs | 🔴 P0 | ☐ |
+| INF-21 | Centralized logging для всех infrastructure components | 🟠 P1 | ☐ |
+| INF-22 | Admin actions audited (who/what/when) | 🟠 P1 | ☐ |
+| INF-23 | Log retention ≥ 90 дней (или per compliance) | 🟠 P1 | ☐ |
+| INF-24 | Alerts на failed auth attempts, permission changes, root access, unusual traffic | 🟠 P1 | ☐ |
+| INF-25 | Access logs enabled на storage buckets / databases | 🟡 P2 | ☐ |
 
-### 2.4 Logging & Monitoring
+### 3.5 Compute & Container Security
 
 | # | Check | Severity | Status |
 |---|-------|----------|--------|
-| INF-17 | Admin actions audited (who did what, when) | 🟠 P1 | ☐ |
-| INF-18 | Log retention ≥ 90 days (or per compliance) | 🟠 P1 | ☐ |
-| INF-19 | Alerts on: failed auth attempts, permission changes, unusual traffic | 🟠 P1 | ☐ |
-| INF-20 | No PII/secrets in infrastructure logs | 🔴 P0 | ☐ |
+| INF-26 | Containers НЕ run as `root` user | 🔴 P0 | ☐ |
+| INF-27 | Minimal base images (e.g., `alpine`, `distroless`) | 🟠 P1 | ☐ |
+| INF-28 | Read-only root filesystem где возможно | 🟡 P2 | ☐ |
 
-### 2.5 CI/CD Pipeline Security
+### 3.6 CI/CD Pipeline Security
 
 | # | Check | Severity | Status |
 |---|-------|----------|--------|
-| INF-21 | OIDC for deploy (no long-lived credentials) | 🟠 P1 | ☐ |
-| INF-22 | Secret scanning in CI (secretlint, gitleaks) | 🟠 P1 | ☐ |
-| INF-23 | Dependency audit in CI (`npm audit --audit-level=high`) | 🟠 P1 | ☐ |
-| INF-24 | Container image scanning (trivy, grype) | 🟠 P1 | ☐ |
-| INF-25 | Branch protection: required reviews, no force push | 🟠 P1 | ☐ |
-| INF-26 | CI env isolated from production | 🔴 P0 | ☐ |
+| INF-29 | CI env isolated от production | 🔴 P0 | ☐ |
+| INF-30 | Secret scanning в CI (gitleaks, secretlint) — preventing commits with secrets | 🔴 P0 | ☐ |
+| INF-31 | Dependency audit (SCA) в CI (`npm audit --audit-level=high`) | 🔴 P0 | ☐ |
+| INF-32 | Branch protection: required reviews, нет force push, disallow direct commits to `main` | 🔴 P0 | ☐ |
+| INF-33 | OIDC для deploy (нет long-lived credentials) | 🟠 P1 | ☐ |
+| INF-34 | Container image scanning (trivy, grype) | 🟠 P1 | ☐ |
+| INF-35 | SAST (Static Analysis) на PRs (CodeQL, Semgrep) | 🟠 P1 | ☐ |
 
-### 2.6 CDN / WAF / Edge
+### 3.7 CDN / WAF / Edge
 
 | # | Check | Severity | Status |
 |---|-------|----------|--------|
-| INF-27 | WAF managed rules enabled (OWASP Core Rule Set) | 🟠 P1 | ☐ |
-| INF-28 | Rate limiting on public endpoints | 🟠 P1 | ☐ |
-| INF-29 | Bot protection / challenge mode | 🟡 P2 | ☐ |
-| INF-30 | Security headers at edge (HSTS, X-Frame-Options, CSP) | 🟠 P1 | ☐ |
-| INF-31 | Strict TLS 1.2+ (no SSL v3, TLS 1.0/1.1) | 🔴 P0 | ☐ |
-| INF-32 | Origin server not directly accessible (CDN proxy only) | 🟠 P1 | ☐ |
+| INF-36 | Strict TLS 1.2+ (no SSL v3, TLS 1.0/1.1) | 🔴 P0 | ☐ |
+| INF-37 | WAF managed rules enabled (OWASP Core Rule Set) | 🟠 P1 | ☐ |
+| INF-38 | Rate limiting на public endpoints | 🟠 P1 | ☐ |
+| INF-39 | Security headers на edge (HSTS, X-Frame-Options, CSP) | 🟠 P1 | ☐ |
+| INF-40 | Origin server не directly accessible (CDN proxy only) | 🟠 P1 | ☐ |
+| INF-41 | Bot protection / challenge mode | 🟡 P2 | ☐ |
 
-### 2.7 Backup & DR
+### 3.8 Backup & DR
 
 | # | Check | Severity | Status |
 |---|-------|----------|--------|
-| INF-33 | Automated backups (DB, configs) | 🟠 P1 | ☐ |
-| INF-34 | Backup retention defined (30+ days) | 🟠 P1 | ☐ |
-| INF-35 | Restore tested (at least once) | 🟠 P1 | ☐ |
-| INF-36 | RPO / RTO documented | 🟠 P1 | ☐ |
-| INF-37 | PITR enabled (if available) | 🟡 P2 | ☐ |
+| INF-42 | Automated backups (DB, configs) | 🟠 P1 | ☐ |
+| INF-43 | Backup retention defined (30+ дней) | 🟠 P1 | ☐ |
+| INF-44 | Restore tested (at least once) | 🟠 P1 | ☐ |
+| INF-45 | RPO / RTO documented | 🟠 P1 | ☐ |
+| INF-46 | PITR enabled (если available) | 🟡 P2 | ☐ |
+
+---
+
+## 4. Verification Methods <a id="4-verification"></a>
+
+### Grep patterns для misconfigurations
+
+```bash
+# 🔴 P0: Detect Hardcoded Secrets (general patterns)
+grep_search: Query="password\s*=\s*[\"'][^\"']+[\"']" IsRegex=true
+grep_search: Query="secret\s*=\s*[\"'][^\"']+[\"']" IsRegex=true
+grep_search: Query="token\s*=\s*[\"'][a-zA-Z0-9_\-]+[\"']" IsRegex=true
+grep_search: Query="api[_-]?key\s*=\s*[\"'][a-zA-Z0-9_\-]+[\"']" IsRegex=true
+
+# 🔴 P0: Dockerfile running as root
+grep_search: Query="USER root" Includes=["Dockerfile*"]
+# Проверить, есть ли 'USER node' (или другой non-root) в конце Dockerfile
+
+# 🔴 P0: Exposed database ports в Docker Compose
+grep_search: Query="\"27017:27017\"" Includes=["docker-compose.yml"]
+grep_search: Query="\"5432:5432\"" Includes=["docker-compose.yml"]
+
+# 🟠 P1: Missing SCA/vuln checks в GitHub Actions
+grep_search: Query="npm audit" Includes=[".github/workflows/*"]
+grep_search: Query="dependabot" Includes=[".github/workflows/*"]
+```
 
 ---
 
-## 3. Platform-Specific Examples
+## 5. Platform-Specific Examples <a id="5-examples"></a>
 
 ### AWS IAM Policy (least privilege)
 
@@ -180,7 +278,7 @@ networks:
 
 ---
 
-## 4. CI/CD Security Pipeline
+## 6. CI/CD Security Pipeline <a id="6-cicd"></a>
 
 ```yaml
 # GitHub Actions security job
@@ -212,66 +310,91 @@ security:
 
 ---
 
-## 5. Pre-Deployment Gate
+## 7. Red Flags <a id="7-red-flags"></a>
+
+| Red Flag | Описание | Severity | Fix |
+|----------|----------|----------|-----|
+| **Public Database** | DB port (e.g., 5432, 27017) bound to `0.0.0.0` или открыт в Security Group | 🔴 P0 | Bind to localhost (`127.0.0.1`) или внутри private VPC |
+| **Secrets в коде** | AWS keys, API tokens committed в repository | 🔴 P0 | Revoke immediately. Use `.env` file + secret manager |
+| **Full Admin IAM** | Workloads или user roles имеют `AdministratorAccess` wildcard (`*`) | 🔴 P0 | Scope down до specific actions и resources (PoLP) |
+| **Root Containers** | Docker images running as default `root` | 🔴 P0 | Add `USER node` (или equivalent) в Dockerfile |
+| **No Branch Protection** | Main branch accepts direct commits без review | 🔴 P0 | Enforce PRs и 1+ reviewers в GitHub settings |
+
+---
+
+## 8. Pre-Deployment Gate <a id="8-pre-deploy"></a>
 
 ### Security sign-off checklist
 
 | # | Category | Check | Status |
 |---|----------|-------|--------|
 | 1 | IAM | Least privilege verified | ☐ |
-| 2 | Secrets | All in secret manager, rotation documented | ☐ |
+| 2 | Secrets | All в secret manager, rotation documented | ☐ |
 | 3 | Network | DB private, TLS everywhere, firewalls set | ☐ |
 | 4 | Logging | Audit logging enabled, no PII | ☐ |
-| 5 | CI/CD | Secret scan + dep audit + image scan pass | ☐ |
-| 6 | CDN/WAF | WAF rules active, rate limits set | ☐ |
-| 7 | Encryption | TLS 1.2+, data at rest encrypted | ☐ |
-| 8 | Backup | Backups scheduled, restore tested | ☐ |
-| 9 | Runbooks | Deploy, rollback, incident docs exist | ☐ |
-| 10 | Incident plan | Contact list, escalation path defined | ☐ |
-
----
-
-## 6. Output Template
+| 5 | Compute | Containers non-root, minimal base images | ☐ |
+| 6 | CI/CD | Secret scan + dep audit + image scan pass | ☐ |
+| 7 | CDN/WAF | WAF rules active, rate limits set | ☐ |
+| 8 | Encryption | TLS 1.2+, data at rest encrypted | ☐ |
+| 9 | Backup | Backups scheduled, restore tested | ☐ |
+| 10 | Runbooks | Deploy, rollback, incident docs exist | ☐ |
+| 11 | Incident plan | Contact list, escalation path defined | ☐ |
+## 9. Output Template <a id="9-output"></a>
 
 ```markdown
 # Cloud & Infrastructure Security Review
 
-**Scope:** <infrastructure/platform>
+**Scope:** <infrastructure repo / CI/CD pipeline / module>
 **Reviewer:** Reviewer Agent
 **Date:** YYYY-MM-DD
+**Reference:** $deployment-ci-plan, $docker-kubernetes-architecture
 
-## Findings
+## Findings Summary
+- **Total Checks Assessed:** X
+- **P0 Blockers:** Y
+- **P1 Concerns:** Z
+- **P2 Recommendations:** W
 
-| # | Severity | Category | Finding | Fix | Status |
-|---|----------|----------|---------|-----|--------|
-| 1 | 🔴 P0 | Network | MongoDB port 27017 publicly accessible | Restrict to private network | ☐ |
-| 2 | 🟠 P1 | CI/CD | No secret scanning in pipeline | Add gitleaks step | ☐ |
-| 3 | 🟠 P1 | CDN | No WAF rules configured | Enable OWASP Core Rule Set | ☐ |
+## Detailed Findings
+
+| # | Severity | Check Code | File/Component | Finding | Fix |
+|---|----------|------------|----------------|---------|-----|
+| 1 | 🔴 P0 | INF-15 | `docker-compose.yml` | MongoDB port 27017 publicly accessible | Restrict to private network |
+| 2 | 🔴 P0 | INF-09 | `docker-compose.yml` | DB password hardcoded (`MYSQL_PASSWORD=root`) | Inject via `.env` + secret manager |
+| 3 | 🔴 P0 | INF-26 | `Dockerfile` | Image runs as root | Add `USER node` before `CMD` |
+| 4 | 🟠 P1 | INF-30 | `.github/workflows/ci.yml` | No secret scanning | Add gitleaks step |
+| 5 | 🟠 P1 | INF-37 | CDN config | No WAF rules configured | Enable OWASP Core Rule Set |
 
 ## Checklist Summary
+
 | Section | Pass | Fail | Total |
 |---------|:----:|:----:|:-----:|
-| IAM | 5 | 1 | 6 |
-| Secrets | 4 | 1 | 5 |
+| IAM & Access | 6 | 1 | 7 |
+| Secrets | 5 | 2 | 7 |
 | Network | 3 | 2 | 5 |
-| Logging | 3 | 1 | 4 |
-| CI/CD | 4 | 2 | 6 |
-| CDN/WAF | 3 | 3 | 6 |
-| Backup | 4 | 1 | 5 |
+| Logging | 5 | 1 | 6 |
+| Compute/Containers | 2 | 1 | 3 |
+| CI/CD | 5 | 2 | 7 |
+| CDN/WAF | 5 | 1 | 6 |
+| Backup & DR | 4 | 1 | 5 |
 
 ## Pre-Deployment Gate
-<section 5 checklist with status>
+<section 8 checklist with status>
 
 ## Verdict
-- ✅ SECURE — all P0 passed, P1 tracked
-- ⚠️ CONDITIONAL — fix P0 items before deploy
-- ❌ BLOCKED — critical infrastructure vulnerabilities
+- ✅ **PASS** — Cloud baseline met. Safe to deploy.
+- ⚠️ **CONDITIONAL** — Minor deviations (P1/P2). Fix before next release
+- ❌ **FAIL** — Critical P0 issues. Do NOT deploy until fixed
 ```
 
 ---
 
 ## См. также
+- `$architecture-doc` — architectural context для review scope
+- `$deployment-ci-plan` — план, который ревьюится
+- `$deployment-ci-plan-reference` — extended reference материалы
 - `$docker-kubernetes-architecture` — container/K8s security details
 - `$k8s-manifests-conventions` — K8s security policies
+- `$dependency-supply-chain-review` — deeper dive в SCA и dependencies
+- `$security-review-baseline` — AppSec layer (complementary к Cloud/Infra)
 - `$threat-model-baseline` — application-level threat model
-- `$deployment-ci-plan` — CI pipeline setup