mcpField
S
security-audit

security-audit

github.com/netresearchセキュリティ50744 回インストール1 日前に更新
リポジトリ

security-audit について

security-audit は、アプリケーション、クラウド基盤、GitHub リポジトリを調べる開発者向けのセキュリティ監査スキルです。参照ガイドとスクリプトを備え、プロジェクトの技術スタックに応じたスキャナーを実行でき、PHP/TYPO3 向けの検査も含みます。

主な機能

  1. 01OWASP、CWE、CVSS の監査ガイド
  2. 02アプリケーションと API の脆弱性検査
  3. 03クラウドと IaC のセキュリティ資料
  4. 04AI エージェント設定の監査
  5. 05技術スタックを判定する監査ディスパッチャー
  6. 06PHP と GitHub の監査スクリプト

活用シーン

  1. 01アプリケーションの一般的な脆弱性の確認
  2. 02AWS または IaC 設定のセキュリティ確認
  3. 03AI エージェントのファイルとフックの監査
  4. 04GitHub リポジトリのセキュリティ検査

インストール

コマンドをコピーしてターミナルで実行します。

$npx skills add https://github.com/netresearch/security-audit-skill --skill security-audit

インストール後、Claude Code で/security-auditを入力して読み込まれたか確認します。

同梱ファイル

SKILL.md と一緒にインストールされる参考資料やスクリプト。

checkpoints.yaml
evals/
evals.json
references/
api-key-encryption.md
api-security.md
authentication-patterns.md
automated-scanning.md
aws-security.md
ci-security-pipeline.md
cryptography-guide.md
cve-patterns.md
cvss-scoring.md
cwe-top25.md
deserialization-prevention.md
error-message-sanitization.md
file-upload-security.md
frontend-security.md
gha-security.md
git-history-secrets.md
go-security-features.md
iac-security.md
indistinguishability-defences.md
input-validation.md
javascript-typescript-security-features.md
llm-security.md
modern-attacks.md
nodejs-security-features.md
owasp-top10.md
path-traversal-prevention.md
php-security-features.md
python-security-features.md

詳細

セキュリティ監査スキル

セキュリティ監査のパターン（OWASP Top 10、LLM Top 10 2025、CWE Top 25 2025、CVSS v4.0）、クラウド／IaC、GitHub セキュリティに対応します。PHP／TYPO3 のチェックポイントは 80 項目以上です（v14.3 LTS については typo3-security.md を参照）。

専門分野

  • 脆弱性：XXE、SQLi、XSS、CSRF、コマンドインジェクション、パストラバーサル、ファイルアップロード、デシリアライズ、SSRF、SSTI、JWT、型ジャグリング
  • 標準：OWASP Top 10／API／LLM（2025）、CWE Top 25、CVSS v3.1／v4.0、OWASP ASVS
  • クラウドと IaC：AWS、Terraform、Kubernetes、Docker、Helm
  • API とフロントエンド：REST／GraphQL の認可、レート制限、マスアサインメント、CSP、DOM-XSS
  • AI エージェント：SKILL.md／AGENTS.md／CLAUDE.md／mcp.json／hooks.json の監査、プロンプトインジェクション、過剰な権限

参照ファイル（references/ 内。.md は省略）

  • コア：owasp-top10、cwe-top25、xxe-prevention、cvss-scoring、api-key-encryption
  • 防止策：deserialization-prevention、path-traversal-prevention、file-upload-security、input-validation、error-message-sanitization、ssh-forced-command-hardening
  • アーキテクチャ：authentication-patterns、security-headers、security-logging、cryptography-guide、security-invariants、indistinguishability-defences
  • 言語機能（*-security-features）：php、python、javascript-typescript、nodejs、go
  • フレームワーク（*-security）：typo3、typo3-fluid、typo3-typoscript、symfony、react、vue
  • クラウドと IaC：aws-security、iac-security
  • API とフロントエンド：api-security、frontend-security
  • AI エージェント：llm-security（OWASP LLM Top 10 2025）
  • 脅威：modern-attacks、cve-patterns
  • DevSecOps：ci-security-pipeline、supply-chain-security、automated-scanning、gha-security、git-history-secrets
  • インシデント：supply-chain-incident-response

セキュリティチェックリスト

  • semgrep／opengrep、trivy fs --severity HIGH,CRITICAL、gitleaks のスキャンで問題がない
  • パスワードには bcrypt／Argon2 を使用し、状態変更には CSRF 対策を実施し、TLS 1.2 以上を使用する
  • サーバー側で入力を検証する。パラメーター化 SQL を使用する。XML エンティティを無効にする
  • 出力をエンコードし、CSP を適用する。ユーザー入力に対して unserialize() を使用しない
  • API キーを暗号化し、例外メッセージをサニタイズする
  • シークレットを VCS に含めず、監査ログを有効にする
  • アップロードファイルを検証して名前を変更し、Web ルート外に保存する
  • HSTS と X-Content-Type-Options ヘッダーを設定し、依存関係をスキャンする

GitHub Actions のセキュリティ

  • 絶対に run: 内で ${{ inputs.* }}／${{ github.event.* }} を展開しないでください。env: を使用してください
  • 依存関係のトリアージ：アップグレード > 上書き > 却下。すべてのパターンについては references/gha-security.md を参照してください。

検証

./scripts/security-audit-dispatcher.sh /path/to/project  # auto-detect stack
./scripts/security-audit.sh /path/to/project             # PHP-only
./scripts/github-security-audit.sh owner/repo            # GH repo

ディスパッチャーはインジケーターファイルからスタックを検出し、該当する scripts/scanners/*.sh を実行します（13 のエコシステムに対応。references/ の索引を参照）。

コントリビューション：https://github.com/netresearch/security-audit-skill

コメント

Markdown 対応