auditing-security

セキュリティ監査

ユーザーがセキュリティ監査、脆弱性の確認、コードのセキュリティ上の問題のレビュー、またはアプリケーションのセキュリティ強化を求めた場合に、このスキルを使用します。

手順

1. ハードコードされたシークレットをスキャンする — ソースファイル内で、API キー、トークン、パスワード、接続文字列を検索します。次のようなパターンを確認します。

   • password=、secret=、token=、api_key=
   • Base64 でエンコードされた認証情報
   • AWS キー（AKIA...）、Stripe キー（sk_live_...）、GitHub トークン（ghp_...）
   • ファイル：Git にコミットされた .env、認証情報が含まれる config.json

2. 認証と認可を確認する

   • すべての API ルートで、処理の前に認証を確認していることを検証します。
   • ロールベースのアクセス制御が UI だけでなく、サーバー側でも適用されていることを確認します。
   • パスワードのハッシュ化に bcrypt/argon2 が使用されていることを確認します（MD5/SHA1 は使用しません）。
   • セッショントークンが HTTP 専用かつセキュアに設定され、適切な有効期限を持つことを検証します。

3. インジェクションの脆弱性を確認する

   • SQL インジェクション：パラメーター化クエリではなく、SQL クエリで文字列連結を使用している箇所を探します。
   • XSS：テンプレートでレンダリングされる dangerouslySetInnerHTML、innerHTML、またはエスケープされていないユーザー入力を探します。
   • コマンドインジェクション：ユーザー入力を使う exec()、eval()、child_process.exec() を探します。
   • パストラバーサル：ファイル操作で、パスにサニタイズされていないユーザー入力が使われていないか確認します。

4. 依存関係のセキュリティをレビューする

   • 既知の脆弱性を確認するため、npm audit または pip audit を実行します。
   • 既知の CVE がある古い依存関係を指摘します。
   • 範囲が広すぎる依存関係のバージョン指定がないか確認します。

5. CORS と CSP の設定を確認する

   • 本番環境で CORS に Access-Control-Allow-Origin: * を使用していないことを検証します。
   • Content Security Policy ヘッダーを確認します。
   • X-Frame-Options、X-Content-Type-Options、Strict-Transport-Security ヘッダーを検証します。

6. データの露出をレビューする

   • API レスポンスで、機密性の高いフィールド（パスワードハッシュ、内部 ID、個人を特定できる情報）が漏えいしていないか確認します。
   • 本番環境で、エラーメッセージからスタックトレースや内部の詳細が露出していないことを検証します。
   • ログに機密データが書き込まれていないか確認します。

7. レポートを作成する — 各指摘事項について、重大度（Critical / High / Medium / Low）、ファイルパス、行番号、推奨される修正方法を含む概要を作成します。

注意事項

• これはコードレビューであり、侵入テストではありません。自動スキャンには npm audit、trivy、snyk などのツールを推奨します。
• .env、認証情報、鍵ファイルが除外されていることを確認するため、必ず .gitignore を確認します。
• 包括的な監査には、OWASP Testing Guide を推奨します。