mcpField
S
security-auditor

security-auditor

github.com/zhaono1セキュリティ851.1k 回インストール9 週間前に更新
リポジトリ

security-auditor について

security-auditorは、OWASP Top 10とセキュリティの実践を基に、コードレビューやアプリケーション監査を支援するスキルです。監査とシークレット検出のスクリプトを備え、Top 10は網羅性の証明ではなくリスク分類として扱います。

主な機能

  1. 01OWASP Top 10に基づくリスク確認
  2. 02コード・設定・依存関係のレビュー
  3. 03認証・認可・インジェクションの確認
  4. 04例外処理とセキュリティログの点検
  5. 05監査・シークレット検出スクリプト

活用シーン

  1. 01アプリケーションコードの脆弱性レビュー
  2. 02デプロイ設定と依存関係リスクの確認
  3. 03プロジェクト内のシークレット検出
  4. 04セキュリティチェックリストによる監査結果の整理

インストール

コマンドをコピーしてターミナルで実行します。

$npx skills add https://github.com/zhaono1/agent-playbook --skill security-auditor

インストール後、Claude Code で/security-auditorを入力して読み込まれたか確認します。

同梱ファイル

SKILL.md と一緒にインストールされる参考資料やスクリプト。

README.md
references/
checklist.md
owasp.md
remediation.md
scripts/
find_secrets.py
security_audit.py

詳細

セキュリティ監査担当

OWASP Top 10 とセキュリティのベストプラクティスに基づいて、セキュリティ脆弱性を特定するエキスパートです。

このスキルが有効になる場合

次のような場合に有効になります。

  • セキュリティ監査を依頼した場合
  • 「security」または「vulnerability」に言及した場合
  • セキュリティレビューが必要な場合
  • OWASP について質問した場合

OWASP Top 10:2025 の対象範囲

現行の OWASP Top 10 は、セキュリティ対策が完全であることの証明ではなく、認識の分類体系として使用します。検証可能なアプリケーション制御については、指摘事項を現行の OWASP ASVS またはプロジェクトで必須とされる標準に対応付けます。

A01: アクセス制御の不備
  • すべての機密性の高い処理経路で、認証とオブジェクト／機能レベルの認可を確認します。
  • テナント境界、IDOR/BOLA、ロールの変更、サーバー側の URL フェッチ制御をテストします。
  • SSRF は 2025 年版のこのカテゴリに含まれます。接続先、スキーム、リダイレクト、ネットワークへの送信を検証します。
A02: セキュリティの設定ミス
  • デバッグフラグ、CORS、セキュリティヘッダー、デフォルトアカウント、クラウド／IaC ポリシー、エラー情報の露出を調査します。
  • 実行時の設定を、環境ごとに強化されたデフォルト設定と比較します。
A03: ソフトウェアサプライチェーンの障害
  • ロックファイル、来歴情報、ビルドワークフロー、変更可能な CI 依存関係、更新ポリシー、依存関係のリスクを確認します。
  • 脆弱なパッケージと、侵害されたビルドまたは配布インフラストラクチャを区別します。
A04: 暗号化の失敗
  • シークレットの保管、通信の暗号化、鍵のライフサイクル、乱数生成、アルゴリズム、保存データの要件を確認します。
  • ハードコードされた認証情報、脆弱なハッシュ、安全でないモード、証明書検証の欠如を指摘します。
A05: インジェクション
  • 信頼できないデータが、SQL／NoSQL、シェル、テンプレート、LDAP、式、ブラウザー実行のシンクに渡される経路を追跡します。
  • パラメーター化と安全な API を優先し、実際の出力コンテキストでエンコードをテストします。
A06: 安全でない設計
  • 信頼境界、悪用ケース、レート制限、高リスクのワークフロー、障害からの復旧を脅威モデリングします。
  • 後続の検証だけに頼らず、設計によって安全でない状態が防止されることを確認します。
A07: 認証の失敗
  • 認証情報の取り扱い、リスクに応じた MFA、リセット／復旧フロー、セッションのローテーションと有効期限、ブルートフォース対策を確認します。
A08: ソフトウェアまたはデータの完全性の失敗
  • 署名、信頼できる更新チャネル、デシリアライズの境界、成果物の完全性、不正なデータ変更からの保護を検証します。
A09: セキュリティログとアラートの障害
  • セキュリティ上重要なイベントが、シークレットを含めずに記録され、改ざんから保護され、監視され、実行可能なアラートに連携されていることを確認します。
A10: 例外的な状況への不適切な対応
  • 不正な形式の入力、リソース枯渇、タイムアウト、部分的な障害、並行処理、依存関係の停止を試します。
  • フェイルオープンの動作、エラーの握りつぶし、安全でない再試行、一貫性のない状態、ロールバックや調整の欠如を探します。

セキュリティ監査チェックリスト

コードレビュー
  • ハードコードされたシークレットがない
  • すべての入力を検証している
  • XSS 防止のために出力をエンコードしている
  • SQL にはパラメーター化クエリを使用している
  • 適切なエラー処理を行っている
  • 保護されたルートで認証を行っている
  • 認可チェックを行っている
  • 公開 API にレート制限を設けている
設定
  • デバッグモードがオフになっている
  • HTTPS を強制している
  • CORS が正しく設定されている
  • セキュリティヘッダーが設定されている
  • シークレットに環境変数を使用している
  • データベースが外部に公開されていない
依存関係
  • 既知の脆弱性がない
  • 依存関係が最新である
  • 使用されていない依存関係を削除している

スクリプト

セキュリティ監査を実行します。

python3 scripts/security_audit.py --name <service-name> --output security-audit.md

シークレットをチェックします。

python3 scripts/find_secrets.py .

参考資料

  • references/owasp.md - OWASP Top 10 の詳細
  • references/checklist.md - セキュリティ監査チェックリスト
  • references/remediation.md - 脆弱性の修正ガイド

コメント

Markdown 対応