security-audit

セキュリティ監査ワークフローバンドル

概要

Web アプリケーション、API、インフラストラクチャ向けの包括的なセキュリティ監査ワークフローです。このバンドルは、ペネトレーションテスト、脆弱性評価、セキュリティスキャン、および修正のためのスキルを編成します。

このワークフローを使用する場面

次のような場合にこのワークフローを使用します:

• Web アプリケーションのセキュリティ監査を実施する場合
• API セキュリティをテストする場合
• ペネトレーションテストを実施する場合
• 脆弱性をスキャンする場合
• アプリケーションセキュリティを強化する場合
• コンプライアンスのセキュリティ評価を行う場合

ワークフローのフェーズ

フェーズ 1: 偵察

呼び出すスキル

• scanning-tools - セキュリティスキャン
• shodan-reconnaissance - Shodan 検索
• top-web-vulnerabilities - OWASP Top 10

アクション

1. 対象範囲を特定する
2. 情報を収集する
3. 攻撃対象領域をマッピングする
4. 技術を特定する
5. 調査結果を文書化する

コピー&ペースト用プロンプト

Use @scanning-tools to perform initial reconnaissance

Use @shodan-reconnaissance to find exposed services

フェーズ 2: 脆弱性スキャン

呼び出すスキル

• vulnerability-scanner - 脆弱性分析
• security-scanning-security-sast - 静的解析
• security-scanning-security-dependencies - 依存関係スキャン

アクション

1. 自動スキャナーを実行する
2. 静的解析を実行する
3. 依存関係をスキャンする
4. 設定ミスを特定する
5. 脆弱性を文書化する

コピー&ペースト用プロンプト

Use @vulnerability-scanner to scan for OWASP Top 10 vulnerabilities

Use @security-scanning-security-dependencies to audit dependencies

フェーズ 3: Web アプリケーションテスト

呼び出すスキル

• top-web-vulnerabilities - OWASP 脆弱性
• sql-injection-testing - SQL インジェクション
• xss-html-injection - XSS テスト
• broken-authentication - 認証テスト
• idor-testing - IDOR テスト
• file-path-traversal - パストラバーサル
• burp-suite-testing - Burp Suite テスト

アクション

1. インジェクション脆弱性をテストする
2. 認証メカニズムをテストする
3. セッション管理をテストする
4. アクセス制御をテストする
5. 入力検証をテストする
6. セキュリティヘッダーをテストする

コピー&ペースト用プロンプト

Use @sql-injection-testing to test for SQL injection vulnerabilities

Use @xss-html-injection to test for cross-site scripting

Use @broken-authentication to test authentication security

フェーズ 4: API セキュリティテスト

呼び出すスキル

• api-fuzzing-bug-bounty - API ファジング
• api-security-best-practices - API セキュリティ

アクション

1. API エンドポイントを列挙する
2. 認証・認可をテストする
3. レート制限をテストする
4. 入力検証をテストする
5. エラー処理をテストする
6. API の脆弱性を文書化する

コピー&ペースト用プロンプト

Use @api-fuzzing-bug-bounty to fuzz API endpoints

フェーズ 5: ペネトレーションテスト

呼び出すスキル

• pentest-commands - ペネトレーションテストコマンド
• pentest-checklist - ペネトレーションテストの計画
• ethical-hacking-methodology - エシカルハッキング
• metasploit-framework - Metasploit

アクション

1. ペネトレーションテストを計画する
2. 攻撃シナリオを実行する
3. 脆弱性を悪用する
4. 概念実証を文書化する
5. 影響を評価する

コピー&ペースト用プロンプト

Use @pentest-checklist to plan penetration test

Use @pentest-commands to execute penetration testing

フェーズ 6: セキュリティ強化

呼び出すスキル

• security-scanning-security-hardening - セキュリティ強化
• auth-implementation-patterns - 認証
• api-security-best-practices - API セキュリティ

アクション

1. セキュリティ制御を実装する
2. セキュリティヘッダーを構成する
3. 認証を設定する
4. 認可を実装する
5. ログを構成する
6. パッチを適用する

コピー&ペースト用プロンプト

Use @security-scanning-security-hardening to harden application security

フェーズ 7: レポート作成

呼び出すスキル

• reporting-standards - セキュリティレポート

アクション

1. 調査結果を文書化する
2. リスクレベルを評価する
3. 修正手順を提示する
4. エグゼクティブサマリーを作成する
5. 技術レポートを生成する

セキュリティテストチェックリスト

OWASP Top 10

• インジェクション (SQL、NoSQL、OS、LDAP)
• 認証の不備
• 機密データの露出
• XML 外部エンティティ (XXE)
• アクセス制御の不備
• セキュリティの設定ミス
• クロスサイトスクリプティング (XSS)
• 安全でないデシリアライゼーション
• 既知の脆弱性を持つコンポーネントの使用
• 不十分なログ記録と監視

API セキュリティ

• 認証メカニズム
• 認可チェック
• レート制限
• 入力検証
• エラー処理
• セキュリティヘッダー

品質ゲート

• 計画されたすべてのテストを実行済み
• 脆弱性を文書化済み
• 概念実証を取得済み
• リスク評価を完了済み
• 修復手順を提供済み
• レポートを生成済み

関連ワークフローバンドル

• development - セキュアな開発プラクティス
• wordpress - WordPress のセキュリティ
• cloud-devops - クラウドセキュリティ
• testing-qa - セキュリティテスト

制限事項

• このスキルは、タスクが上記の範囲に明確に一致する場合にのみ使用してください。
• 出力を、環境固有の検証、テスト、または専門家によるレビューの代替として扱わないでください。
• 必要な入力、権限、安全境界、または成功基準が欠けている場合は、停止して確認を求めてください。