mcpField
M
mobile-code-review

mobile-code-review

github.com/owaspセキュリティ208174 回インストール2 週間前に更新
リポジトリ

mobile-code-review について

OWASP MASVSとMASTGの手順に沿って、AndroidとiOSのネイティブソースコードを確認するセキュリティレビュー用スキルです。プラットフォームを判定し、優先度付きの指摘と追加テスト項目をまとめます。

主な機能

  1. 01AndroidとiOSの判定
  2. 028つのMASVSグループのレビュー
  3. 03MASTGテストに沿った静的解析
  4. 04プルリクエスト差分の確認
  5. 05優先度付きの指摘と追加項目

活用シーン

  1. 01ネイティブアプリのコードの脆弱性確認
  2. 02プルリクエストのセキュリティ変更の評価
  3. 03深刻度に基づく指摘の整理
  4. 04追加の動的テスト項目の特定

インストール

コマンドをコピーしてターミナルで実行します。

$npx skills add https://github.com/owasp/secure-agent-playbook --skill mobile-code-review

インストール後、Claude Code で/mobile-code-reviewを入力して読み込まれたか確認します。

詳細

モバイルセキュリティのコードレビュー

plays/mobile-code-review.md に記載された手順全体に従って、Android および iOS のネイティブソースコードにセキュリティ上の脆弱性がないかレビューします。

手順

  1. スコープとコンテキスト — 言語（Java/Kotlin/Swift/Obj-C/Dart）、プラットフォーム、アプリの種類、機密データ、公開範囲。
  2. プラットフォームの検出 — Android（AndroidManifest.xml、build.gradle）および／または iOS（Info.plist、*.xcodeproj）を特定します。クロスプラットフォームのシェルのみが検出された場合は、カバレッジが部分的であることを明記します。
  3. MASVS グループ別の体系的なレビュー — 8 つの MASVS グループ（STORAGE、CRYPTO、AUTH、NETWORK、PLATFORM、CODE、RESILIENCE、PRIVACY）それぞれについて、優先順位に従って以下を実施します。
    • 制御要件と mastg_tests: リストを確認するため、data/masvs/MASVS-<GROUP>-<N>.md を読み込みます。
    • 各 MASTG テスト ID について、data/mastg/MASTG-TEST-####.md を読み込み、その静的解析の内容（V1）または手順／観察／評価（V2）をソースツリーに適用します。
    • V1 フォールバックのテストは、該当ファイルの status_note を使って所見に記載します。
  4. 差分に特化した分析（PR の場合）— 変更行に注目し、ピンニング、権限、KeyStore／Keychain の使用が弱められていないことを確認します。
  5. 所見の作成 — templates/finding.md を使用します。重大度順（CRITICAL > HIGH > MEDIUM > LOW > INFO）に並べます。グループをまたぐ所見は重複を避け、OWASP Ref には最も具体的な MASVS 制御を記載します。

出力

スコープの概要（プラットフォーム、言語）、MASTG ID に関する上流リポジトリへの参照メモ（https://github.com/OWASP/mastg、https://mas.owasp.org/MASTG/）、templates/finding.md を使用して重大度順に並べた所見（各所見には任意で MASTG references: の箇条書きを含め、通知に使用したテストで引用された、TEST 以外の @MASTG-<KIND>-#### 相互参照を記載します。KIND のアルファベット順にグループ化し、ID は数値順に並べます。該当するものがない場合は省略します）、肯定的な所見、重大度別の件数表、RESILIENCE の静的解析のみである旨の通知ブロック、PRIVACY-2／PRIVACY-3 に対する所見についての実行時検証が必要である旨の注意、動的テストのフォローアップリスト（所見に反映された data/mastg/ のエントリのうち、type: [dynamic] を含むものから収集）。

OWASP の参照情報

  • OWASP MASVS v2.1.0
  • OWASP MASTG（前方参照）
  • OWASP MAS Checklist
  • OWASP ASVS v5.0（重複する項目のみ）
  • CWE-312、CWE-327、CWE-295、CWE-926、CWE-749、その他、所見に応じて記載

コメント

Markdown 対応