security-audit

セキュリティ監査

使用する場面

• WebアプリケーションまたはAPIのセキュリティ問題を監査するとき
• 認証、認可、またはセッション管理をレビューするとき
• 入力検証、インジェクションのリスク、またはデータ漏えいを確認するとき
• リリース前に、体系的な強化と報告のレビューを実施するとき

範囲と安全性

• 対象、許可された範囲、テストが読み取り専用かアクティブな調査を許可するかを確認します。
• 明示的な許可がない限り、破壊的なチェック、大量のファジング、またはサービス拒否を招くようなトラフィックは実行しないでください。
• 開始前に、前提条件、環境上の制限、アクセスレベルを記録します。
• 広範な主張より、再現可能な証拠を優先します。

監査ワークフロー

フェーズ 1：範囲の確認と偵察

1. 対象範囲に含まれるドメイン、アプリ、API、ジョブ、バックグラウンドワーカーを特定します。
2. 攻撃対象領域を洗い出します。
   • ルートとエントリーポイント
   • 認証フロー
   • 管理者向けの画面や機能
   • ファイルアップロードまたはインポート経路
   • サードパーティのコールバックとWebhook
3. フレームワーク、ホスティングモデル、データストア、外部連携を記録します。
4. テストを開始する前に、簡単な資産インベントリを作成します。

フェーズ 2：ベースラインレビュー

1. 依存関係のバージョン、既知の露出箇所、明らかな設定ミスを確認します。
2. 環境とデプロイに関する前提条件をレビューします。
   • シークレットの取り扱い
   • ログ記録
   • デバッグモード
   • CORS
   • Cookieのフラグ
   • セキュリティヘッダー
3. 自動スキャンが有用な領域を特定します。ただし、ワークフローは自己完結させ、実行するスキャンの内容とその理由を説明します。

フェーズ 3：Webアプリケーションの手動テスト

次の項目を確認します。

• クエリパラメーター、フォーム、検索、フィルター、アップロード、テンプレートレンダリングにおけるインジェクションのリスク
• 保存型、反射型、DOMベースのフローにおけるXSSのリスク
• 認証の不備、脆弱なセッション管理、安全でないパスワードリセットフロー
• ユーザー、チーム、管理者の各範囲におけるアクセス制御の不備とIDORのパターン
• 状態を変更するリクエストにおけるCSRFへの露出
• パストラバーサル、ファイル処理、安全でないオブジェクトアクセス
• UI、ログ、クライアントストレージ、エラーメッセージにおける機密データの露出

各指摘事項について、次の内容を記録します。

• エントリーポイント
• 必要な権限
• 再現手順
• 確認された影響
• 修正の方向性

フェーズ 4：APIセキュリティレビュー

次の項目を確認します。

• エンドポイントのインベントリと、文書化されていないルート
• 状態を変更するすべてのエンドポイントにおける認証・認可の適用状況
• テナント分離とオブジェクトレベルの認可
• レート制限と不正利用への耐性
• リクエストの検証とスキーマの適用
• エラーレスポンスにおける安全でないデフォルト設定
• Webhookの署名検証とリプレイへの対処

必要に応じて、テストすべき具体的なリクエストのバリエーションを説明します。

• 認証情報なし
• 低権限の認証情報
• テナントをまたぐ識別子
• 不正なペイロード
• 境界値
• 繰り返しのリクエスト

フェーズ 5：強化レビュー

次の項目をレビューします。

• パスワードとトークンのライフサイクル
• 適切な場合のMFAまたは追加認証
• 最小権限のロールと管理者権限の分離
• 特権操作の監査ログ
• シークレットの管理とローテーション
• SSRF、オープンリダイレクト、送信リクエストの制御
• ファイルアップロードの検証とストレージの分離
• バックアップ、復旧、インシデント対応の準備状況

フェーズ 6：報告

次の内容を含むレポートを作成します。

1. エグゼクティブサマリー
2. 範囲と方法
3. 重大度順に並べた指摘事項
4. 再現手順と証拠
5. 修正の指針
6. 残存リスクとフォローアップの確認事項

セキュリティチェックリスト

Web

• 認証フローをレビュー済み
• 認可の境界をレビュー済み
• セッション管理をレビュー済み
• 入力検証をレビュー済み
• インジェクションのリスクをレビュー済み
• XSSのリスクをレビュー済み
• CSRF対策をレビュー済み
• エラー処理とデータ露出をレビュー済み

API

• エンドポイントのインベントリを作成済み
• エンドポイントごとに認証の適用状況を確認済み
• オブジェクトレベルの認可を確認済み
• レート制限をレビュー済み
• 検証とスキーマ処理をレビュー済み
• Webhookの検証をレビュー済み

運用

• シークレットの取り扱いを確認済み
• ログ記録と監査証跡を確認済み
• セキュリティヘッダーと Cookie の設定を確認済み
• 依存関係の状態を確認済み
• 復旧とインシデント対応の準備状況を確認済み

出力標準

すべての指摘には、以下を含めてください。

• タイトル
• 重大度
• 影響を受ける箇所
• 再現手順
• 影響
• 修正方法
• 確信度

制限事項

• このスキルは監査の構成を整理するものであり、環境固有のテストや専門家によるレビューに代わるものではありません。
• アクセス権、認可、または作業ルールが不明確な場合は、続行する前に作業を中断して確認してください。