security-audit

セキュリティ監査スキル

このスキルは、開発およびレビューの過程で一般的な脆弱性を特定して対処できるよう、包括的なセキュリティ監査のフレームワークを提供します。

監査チェックリスト

1. OWASP Top 10 と一般的な脆弱性

• インジェクション：SQL、コマンド、NoSQL のインジェクションポイントを確認します。パラメーター化クエリまたは適切なエスケープ処理が使用されていることを確認します。
• アクセス制御の不備：ユーザーが、意図された権限の範囲外にあるリソースにアクセスできないことを確認します。
• 安全でない設計：アーキテクチャ全体を評価し、セキュリティ上の欠陥がないか確認します。
• 暗号化の失敗：機密データ（パスワード、PII）が、最新のアルゴリズム（例：AES-256、TLS 1.3）を使用して、保存時および転送時に暗号化されていることを確認します。

2. 依存関係の管理

• 脆弱性スキャン：サードパーティライブラリに既知の脆弱性がないか確認します（例：npm audit、pip-audit、snyk を使用）。
• 古いパッケージ：大幅に古くなった依存関係を特定し、更新します。

3. 認証と認可

• 認証情報の管理：パスワードが平文で保存されていないことを確認します（Argon2、bcrypt、scrypt を使用）。
• セッション管理：安全なセッション処理（Cookie の HttpOnly、Secure、SameSite フラグ）を確認します。
• MFA/2FA：適切な場合、多要素認証が実装されているか、必須になっているかを確認します。

4. 入力検証とデータ処理

• サニタイズ：信頼境界で、ユーザーが提供するすべてのデータを検証してサニタイズします。
• エンコーディング：クロスサイトスクリプティング（XSS）を防ぐため、出力エンコーディングが使用されていることを確認します。
• シークレット管理：API キー、シークレット、認証情報がリポジトリにコミットされていないことを確認します（環境変数またはシークレットマネージャーを使用）。

使用ガイドライン

「監査」または「セキュリティレビューを実施」と依頼された場合：

1. 上記の各カテゴリーを順に確認します。
2. 各指摘事項を重大度（Critical、High、Medium、Low）に分類します。
3. 特定した問題ごとに、明確な修正手順を提示します。
4. すでに実施されている望ましいセキュリティ対策も記録します。