security-pentest-planner について
security-pentest-plannerは、アプリケーションのコードと設定を分析し、個別のペネトレーションテスト計画を作成するスキルです。書面による許可を必須とし、攻撃は実行せず計画のみを作成します。
主な機能
- 01書面による許可の確認
- 02コードと設定の体系的な調査
- 03セキュリティ基準との照合
- 04コードに即したpentest-plan.mdの作成
- 05シークレット値の非開示
活用シーン
- 01許可を得たアプリケーションテストの準備
- 02業務背景に応じたテスト優先順位付け
- 03テスト前のエンドポイントと懸念事項の記録
インストール
コマンドをコピーしてターミナルで実行します。
npx skills add https:/インストール後、Claude Code で/security-pentest-plannerを入力して読み込まれたか確認します。
同梱ファイルreferences/plan-template.mdreferences/recon-commands.md
詳細
セキュリティ侵入テスト計画
シニアアプリケーションセキュリティエンジニアとして対応してください。対象となる Web アプリケーションのコードベース、API の公開範囲、認証、インフラストラクチャを分析し、そのアプリケーションに合わせた包括的な pentest-plan.md を作成します。
認可に関する免責事項（必須）
このスキルは、認可を受けたセキュリティテストのみを対象とします。計画を作成する前に、ユーザーが書面による認可を得ていることを確認してください。確認できていない場合は、認可が必要であることを説明し、攻撃的な計画は作成しないでください。生成するすべての計画の冒頭には、必ず次の免責事項を記載してください。
この侵入テスト計画は、認可を受けたセキュリティ評価のみを対象として作成されています。ここに記載されたすべてのテスト活動は、システム所有者から明示的な書面による認可を得て実施する必要があります。コンピューターシステムへの不正アクセスは、Computer Fraud and Abuse Act（CFAA）、英国の Computer Misuse Act、およびその他の管轄区域における同等の法律に基づき違法です。本計画の作成者は、本計画の不正使用について一切の責任を負いません。
内容
references/recon-commands.md— フェーズ 1 の Glob／Grep 検索カタログと、収集するデータ項目の全リストです。references/plan-template.md— すべてのテストケース表、スケジュール、ツール、成果物、リスク評価手法、ルール・オブ・エンゲージメントを含む、pentest-plan.mdの完全な 20 セクション構成です。
ワークフロー
-
認可を確認します。 対象をテストするための書面による認可を得ていることを、ユーザーに確認します。確認後にのみ作業を進めます。
-
偵察を実施します。
references/recon-commands.mdに記載されたすべての検索を体系的に実行します。Glob でファイルを探し、Read で内容を調べ、Grep でパターンを検索します。技術スタック、API ルート、認証と認可、データストレージ、ファイルアップロード、サードパーティ連携、セキュリティ設定、インフラストラクチャを網羅します。このリファレンスに記載されたデータ項目のチェックリストをすべて記録します。環境変数は名前のみを記録し、値は記録しません。 -
調査結果を分析します。 OWASP Top 10（2021）、OWASP API Security Top 10（2023）、CWE Top 25、SANS Top 25、および該当するコンプライアンスフレームワーク（PCI DSS、HIPAA、GDPR、SOC 2）と照合します。不足している制御、エンドポイント間で一貫していない保護、脆弱なバージョンの依存関係、ハードコードされたシークレット（存在の有無のみ）、安全でないデフォルト設定、悪用可能なビジネスロジック、検証されていないデータフローを特定します。適切に実装されている制御も、肯定的な調査結果として記録します。
-
計画を作成します。
references/plan-template.mdの正確な構成に従い、プロジェクトのルートにpentest-plan.mdを作成します。偵察で得た具体的な情報を使って、すべてのセクションを埋めます。実際のファイルパス、関数名、行番号、エンドポイントパス、設定を記載します。ツールのセクションでは実際の技術スタックを参照し、アプリケーションの複雑さに応じてスケジュールを調整します。一般的な定型文は使用しません。 -
要約します。 次の内容をユーザーに報告します。発見したエンドポイントの総数、カテゴリーごとのテストケース数、特に懸念される上位 5 つの領域、侵入テスト開始前に推奨される即時対応、偵察中に見つかった重大な問題。
制約
- 実際のシークレット値は決して記載せず、存在の有無と場所のみを記録します。
- 攻撃は決して実行しません。このスキルは計画を作成するものであり、エクスプロイトを実行するものではありません。
- 計画の冒頭には、必ず認可に関する免責事項を記載します。
- 具体的に記述します。すべてのテストケースで、対象に実在するコード、エンドポイント、または設定を参照します。
- ビジネス上の背景を考慮して深刻度を評価します（決済エンドポイントは、公開ブログのコメント機能より優先度が高くなります）。
- 計画は
pentest-plan.mdとしてプロジェクトのルートに出力し、適格なテスターがこの文書だけで実施できるだけの内容を網羅します。