security-audit

セキュリティ監査スキル

目的

包括的なセキュリティスキャンと脆弱性検出を行います。入力検証、パストラバーサルの防止、CVE 検出、安全なコーディングパターンの徹底が含まれます。

トリガーするタイミング

• 認証の実装
• 認可ロジック
• 決済処理
• ユーザーデータの取り扱い
• API エンドポイントの作成
• ファイルアップロードの処理
• データベースクエリ
• 外部 API の統合

スキップするタイミング

• 公開データに対する読み取り専用操作
• 内部開発ツール
• 静的なドキュメント
• スタイルの変更

コマンド

セキュリティの全体スキャン

コードベースの包括的なセキュリティ分析を実行します

npx @claude-flow/cli security scan --depth full

例：

npx @claude-flow/cli security scan --depth full --output security-report.json

入力検証チェック

入力検証に関する問題をチェックします

npx @claude-flow/cli security scan --check input-validation

例：

npx @claude-flow/cli security scan --check input-validation --path ./src/api

パストラバーサルチェック

パストラバーサルの脆弱性をチェックします

npx @claude-flow/cli security scan --check path-traversal

SQL インジェクションチェック

SQL インジェクションの脆弱性をチェックします

npx @claude-flow/cli security scan --check sql-injection

XSS チェック

クロスサイトスクリプティングの脆弱性をチェックします

npx @claude-flow/cli security scan --check xss

CVE スキャン

依存関係に既知の CVE がないかスキャンします

npx @claude-flow/cli security cve --scan

例：

npx @claude-flow/cli security cve --scan --severity high

セキュリティ監査レポート

包括的なセキュリティ監査レポートを生成します

npx @claude-flow/cli security audit --report

例：

npx @claude-flow/cli security audit --report --format markdown --output SECURITY.md

脅威モデリング

脅威モデリング分析を実行します

npx @claude-flow/cli security threats --analyze

シークレットの検証

ハードコードされたシークレットがないかチェックします

npx @claude-flow/cli security validate --check secrets

スクリプト

スクリプト	パス	説明
security-scan	.agents/scripts/security-scan.sh	セキュリティスキャンのパイプライン全体を実行します
cve-remediate	.agents/scripts/cve-remediate.sh	既知の CVE を自動的に修正します

参照資料

ドキュメント	パス	説明
Security Checklist	docs/security-checklist.md	セキュリティレビューチェックリスト
OWASP Guide	docs/owasp-top10.md	OWASP Top 10 の緩和ガイド

ベストプラクティス

1. 開始前にメモリを確認し、既存のパターンを調べます
2. 調整には階層型トポロジーを使用します
3. 完了後、成功したパターンを保存します
4. 新たに得た知見を記録します