mcpField
D
discover-security

discover-security

github.com/randセキュリティ190103 回インストール35 週間前に更新
リポジトリ

discover-security について

discover-security は Claude Code 向けのアプリケーションセキュリティスキルゲートウェイです。6 つの専門スキルに分かれ、カテゴリの詳細や個別トピックを段階的に読み込めるほか、一般的なセキュリティワークフローの順序も示します。

主な機能

  1. 01セキュリティ作業時の自動起動
  2. 026 つの専門セキュリティスキル
  3. 03認証と入力保護のガイド
  4. 04一般的なワークフローの推奨順
  5. 05スキル詳細の段階的な読み込み

活用シーン

  1. 01認証とアクセス制御の実装
  2. 02入力処理とセキュリティヘッダーの確認
  3. 03アプリケーションセキュリティ監査の計画
  4. 04認証情報と CI/CD シークレットの管理

インストール

コマンドをコピーしてターミナルで実行します。

$npx skills add https://github.com/rand/cc-polymath --skill discover-security

インストール後、Claude Code で/discover-securityを入力して読み込まれたか確認します。

詳細

セキュリティスキルの検出

包括的なアプリケーションセキュリティ、脆弱性評価、セキュリティのベストプラクティスに関するスキルを自動的に利用できるようにします。

このスキルが有効になるタイミング

次の作業を行うと、このスキルが自動的に有効になります。

  • 認証および認可システム
  • 入力の検証とサニタイズ
  • セキュリティヘッダー（CSP、HSTS、CORS）
  • 脆弱性スキャンと侵入テスト
  • OWASP Top 10 の脆弱性
  • シークレット管理（Vault、AWS Secrets Manager）
  • SQL インジェクション、XSS、その他の攻撃の防止
  • セキュリティ強化とコンプライアンス
  • パスワードのハッシュ化と認証情報の管理
  • API セキュリティとアクセス制御

利用可能なスキル

クイックリファレンス

Security カテゴリには、6 つの専門スキルがあります。

  1. authentication - 認証パターン（JWT、OAuth2、セッション、MFA、パスワードセキュリティ）
  2. authorization - アクセス制御（RBAC、ABAC、ポリシーエンジン、権限）
  3. input-validation - 入力の検証とサニタイズ（SQL インジェクション、XSS、コマンドインジェクション）
  4. security-headers - HTTP セキュリティヘッダー（CSP、HSTS、X-Frame-Options、CORS）
  5. vulnerability-assessment - セキュリティテスト（OWASP Top 10、スキャンツール、侵入テスト）
  6. secrets-management - シークレットの取り扱い（Vault、AWS Secrets Manager、キーのローテーション）
カテゴリの詳細をすべて読み込む

説明とワークフローの詳細については、次を参照してください。

Read ../security/INDEX.md

これにより、Security カテゴリの完全なインデックスが読み込まれます。内容は次のとおりです。

  • スキルの詳細な説明
  • 各スキルが有効になる条件
  • よく使われるワークフローの組み合わせ
  • 関連スキルへの相互参照
個別のスキルを読み込む

必要に応じて個別のスキルを読み込みます。

ID とアクセス

Read ../security/authentication.md Read ../security/authorization.md

入力セキュリティ

Read ../security/input-validation.md Read ../security/security-headers.md

セキュリティ運用

Read ../security/vulnerability-assessment.md Read ../security/secrets-management.md

よく使われるワークフロー

Web アプリケーションのセキュリティ保護

順序：認証 → 認可 → 入力検証 → セキュリティヘッダー

Read ../security/authentication.md # ユーザーログイン Read ../security/authorization.md # アクセス制御 Read ../security/input-validation.md # XSS／SQL インジェクションの防止 Read ../security/security-headers.md # ブラウザーの保護

セキュリティ監査

順序：脆弱性評価 → 入力検証 → ヘッダー → シークレット

Read ../security/vulnerability-assessment.md # OWASP Top 10 のテスト Read ../security/input-validation.md # インジェクションテスト Read ../security/security-headers.md # ヘッダー設定 Read ../security/secrets-management.md # 認証情報のセキュリティ

API セキュリティ

順序：認証 → 認可 → 入力検証 → シークレット

Read ../security/authentication.md # JWT／OAuth2 Read ../security/authorization.md # API アクセス制御 Read ../security/input-validation.md # リクエストの検証 Read ../security/secrets-management.md # API キー管理

DevSecOps パイプライン

順序：脆弱性評価 → シークレット → 入力検証

Read ../security/vulnerability-assessment.md # セキュリティスキャン Read ../security/secrets-management.md # CI/CD シークレット Read ../security/input-validation.md # SAST 検証

新しいアプリケーションのセキュリティ保護

セキュリティをゼロから完全に実装します。

1. ID とアクセス

Read ../security/authentication.md Read ../security/authorization.md

2. 入力の保護

Read ../security/input-validation.md Read ../security/security-headers.md

3. 運用

Read ../security/secrets-management.md Read ../security/vulnerability-assessment.md

スキル選択ガイド

認証を選ぶ場合：

  • ユーザーログインシステムを実装する
  • JWT、OAuth2、セッションを扱う
  • 多要素認証を追加する
  • パスワードと認証情報を管理する

認可を選ぶ場合：

  • アクセス制御を実装する
  • ロールベースの権限（RBAC）を構築する
  • ポリシーエンジン（OPA、Casbin）を扱う
  • 権限昇格を防止する

入力検証を選ぶ場合：

  • ユーザー入力を処理する
  • SQL インジェクションを防止する
  • XSS 攻撃から保護する
  • ファイルのアップロードを検証する
  • コマンドインジェクションを防止する

セキュリティヘッダーを選ぶ場合：

  • Content Security Policy（CSP）を設定する
  • HTTPS 強制（HSTS）を実装する
  • API 用に CORS を設定する
  • クリックジャッキングを防止する
  • Web アプリケーションを強化する

脆弱性評価を選ぶ場合：

  • OWASP Top 10 に対するテストを行う
  • セキュリティスキャン（SAST/DAST）を実行する
  • ペネトレーションテストを実施する
  • アプリケーションのセキュリティを監査する
  • セキュリティ CI/CD を設定する

シークレット管理を選ぶ場合：

  • API キーや認証情報を保存する
  • HashiCorp Vault と統合する
  • AWS Secrets Manager または GCP Secret Manager を使用する
  • 暗号化キーをローテーションする
  • CI/CD のシークレットを管理する

他のスキルとの統合

セキュリティスキルは、一般的に次のスキルと組み合わせます。

API スキル（discover-api）：

  • API の認証と認可
  • API の入力検証
  • API のレート制限（不正利用の防止）
  • REST および GraphQL エンドポイントのセキュリティ確保

データベーススキル（discover-database）：

  • SQL インジェクションの防止
  • データベース接続のセキュリティ
  • 認証情報の管理
  • 行レベルのセキュリティ

フロントエンドスキル（discover-frontend）：

  • React/Vue での XSS 防止
  • Content Security Policy
  • セキュアな Cookie の取り扱い
  • クライアント側の検証

インフラストラクチャスキル（discover-infrastructure、discover-cloud）：

  • デプロイにおけるシークレット管理
  • ネットワークセキュリティ
  • コンテナのセキュリティスキャン
  • TLS/SSL の設定

テストスキル（discover-testing）：

  • セキュリティ統合テスト
  • ペネトレーションテスト
  • 自動セキュリティスキャン
  • 脆弱性の再発テスト

使用手順

  1. 自動有効化：Claude Code がセキュリティ関連の作業を検出すると、このスキルが自動的に読み込まれます
  2. スキルを確認する：Read ../security/INDEX.md を実行して、カテゴリの概要全体を確認します
  3. 特定のスキルを読み込む：上記の bash コマンドを使って個別のスキルを読み込みます
  4. ワークフローに従う：一般的なセキュリティパターンに推奨される手順を使用します
  5. スキルを組み合わせる：包括的なセキュリティ対策のため、複数のスキルを読み込みます

段階的な読み込み

このゲートウェイスキル（約200行、約2Kトークン）では、段階的な読み込みが可能です。

  • レベル 1：ゲートウェイが自動的に読み込まれます（現在ここにいます）
  • レベル 2：カテゴリの概要全体を確認するには、INDEX.md（約3Kトークン）を読み込みます
  • レベル 3：必要に応じて特定のスキル（各約2～4Kトークン）を読み込みます

コンテキストの合計：2K + 3K + スキル数分 = 5～12K トークン。インデックス全体の30K以上と比べて少なくなります。

クイックスタートの例

「ユーザー認証を実装する」： Read ../security/authentication.md

「ロールベースのアクセス制御を追加する」： Read ../security/authorization.md

「SQL インジェクションを防止する」： Read ../security/input-validation.md

「Content Security Policy を設定する」： Read ../security/security-headers.md

「OWASP の脆弱性をテストする」： Read ../security/vulnerability-assessment.md

「HashiCorp Vault を統合する」： Read ../security/secrets-management.md

「JWT を使って API を保護する」： Read ../security/authentication.md Read ../security/authorization.md

次のステップ：Read ../security/INDEX.md を実行してカテゴリの詳細全体を確認するか、上記の bash コマンドを使って特定のスキルを読み込みます。

コメント

Markdown 対応