mcpField
S
security-audit

security-audit

github.com/dirnbauerセキュリティ3383 回インストール14 週間前に更新
リポジトリ

security-audit について

コードベースや GitHub リポジトリを対象とするセキュリティ監査スキルです。脆弱性、クラウドと IaC、API、AI エージェントの確認資料を備え、技術スタックに応じたスキャンを実行します。

主な機能

  1. 01OWASP、CWE、CVSS のガイド
  2. 02クラウドと IaC の設定確認
  3. 03API、フロントエンド、AI エージェントの監査
  4. 04技術スタックに応じたスキャナー実行
  5. 05PHP と TYPO3 のチェック項目

活用シーン

  1. 01プロジェクトの一般的な脆弱性の確認
  2. 02GitHub Actions ワークフローの監査
  3. 03クラウド基盤と依存関係のスキャン
  4. 04AI エージェント設定リスクの評価

インストール

コマンドをコピーしてターミナルで実行します。

$npx skills add https://github.com/dirnbauer/webconsulting-skills --skill security-audit

インストール後、Claude Code で/security-auditを入力して読み込まれたか確認します。

同梱ファイル

SKILL.md と一緒にインストールされる参考資料やスクリプト。

checkpoints.yaml
evals/
evals.json
references/
android-sdk-security.md
angular-security.md
api-key-encryption.md
api-security.md
authentication-patterns.md
automated-scanning.md
aws-security.md
azure-security.md
blazor-security.md
ci-security-pipeline.md
cryptography-guide.md
csharp-security-features.md
cve-database.md
cve-patterns.md
cvss-scoring.md
cwe-top25.md
deserialization-prevention.md
django-security.md
dotnet-security.md
error-message-sanitization.md
express-security.md
fastapi-security.md
file-upload-security.md
flask-security.md
framework-security.md
frontend-security.md
gcp-security.md
gha-security.md

詳細

セキュリティ監査スキル

セキュリティ監査のパターン（OWASP Top 10、LLM Top 10 2025、CWE Top 25 2025、CVSS v4.0）、クラウド/IaC、GitHub セキュリティ。80 以上の PHP/TYPO3 チェックポイント（v14.3 LTS は typo3-security.md を参照）。

専門分野

  • 脆弱性: XXE、SQLi、XSS、CSRF、コマンドインジェクション、パストラバーサル、ファイルアップロード、デシリアライゼーション、SSRF、SSTI、JWT、型ジャグリング
  • 標準: OWASP Top 10 / API / LLM（2025）、CWE Top 25、CVSS v3.1/v4.0、OWASP ASVS
  • クラウドと IaC: AWS、Terraform、Kubernetes、Docker、Helm
  • API とフロントエンド: REST/GraphQL の認可、レート制限、マスアサインメント、CSP、DOM-XSS
  • AI エージェント: SKILL.md/AGENTS.md/CLAUDE.md/mcp.json/hooks.json の監査、プロンプトインジェクション、過剰な権限

参照ファイル（references/ 内。.md は省略）

  • コア: owasp-top10、cwe-top25、xxe-prevention、cvss-scoring、api-key-encryption
  • 防止策: deserialization-prevention、path-traversal-prevention、file-upload-security、input-validation、error-message-sanitization
  • アーキテクチャ: authentication-patterns、security-headers、security-logging、cryptography-guide、security-invariants
  • 言語機能（*-security-features）: php、python、javascript-typescript、nodejs、go
  • フレームワーク（*-security）: typo3、typo3-fluid、typo3-typoscript、symfony、react、vue
  • クラウドと IaC: aws-security、iac-security
  • API とフロントエンド: api-security、frontend-security
  • AI エージェント: llm-security（OWASP LLM Top 10 2025）
  • 脅威: modern-attacks、cve-patterns
  • DevSecOps: ci-security-pipeline、supply-chain-security、automated-scanning、gha-security、git-history-secrets
  • インシデント: supply-chain-incident-response

セキュリティチェックリスト

  • semgrep/opengrep、trivy fs --severity HIGH,CRITICAL、gitleaks のスキャンで問題がない
  • パスワードには bcrypt/Argon2 を使用し、状態変更時には CSRF 対策を行い、TLS 1.2 以上を使用する
  • サーバー側で入力を検証する。SQL にはプレースホルダーを使用する。XML エンティティを無効にする
  • 出力をエンコードし、CSP を設定する。ユーザー入力に対して unserialize() を使用しない
  • API キーを暗号化する。例外メッセージをサニタイズする
  • シークレットを VCS に含めない。監査ログを有効にする
  • アップロードファイルを検証して名前を変更し、Web ルート外に保存する
  • HSTS + X-Content-Type-Options ヘッダーを設定する。依存関係をスキャンする

GitHub Actions のセキュリティ

  • run: 内で ${{ inputs.* }} / ${{ github.event.* }} を絶対に展開しないでください。env: を使用してください
  • 依存関係のトリアージ: アップグレード > オーバーライド > 却下。詳しいパターンは references/gha-security.md を参照してください。

検証

./scripts/security-audit-dispatcher.sh /path/to/project  # auto-detect stack
./scripts/security-audit.sh /path/to/project             # PHP-only
./scripts/github-security-audit.sh owner/repo            # GH repo

ディスパッチャーはインジケーターファイルからスタックを検出し、該当する scripts/scanners/*.sh を実行します（13 のエコシステムに対応。references/ の索引を参照）。

貢献方法: https://github.com/netresearch/security-audit-skill

クレジットと帰属表示

このスキルは、 Netresearch DTT GmbH による優れた取り組みに基づいています。

元のリポジトリ: https://github.com/netresearch/security-audit-skill

Copyright (c) Netresearch DTT GmbH — 方法論とベストプラクティス（MIT / CC-BY-SA-4.0）

このスキルコレクションの形成に貢献した、TYPO3 コミュニティへの寛大なオープンソース貢献に対し、Netresearch DTT GmbH に特別な感謝を申し上げます。 このスキルコレクション向けに webconsulting.at が改変

コメント

Markdown 対応