security-review

セキュリティレビュー

使用する場面

• 優先順位付けされた検出事項、修正ガイダンス、正式なレポートを含む、コードベース全体のセキュリティレビューに使用します。

入力

• 対象リポジトリのパス（呼び出し後の最初の引数）。
  • 例：$security-review /path/to/repo
• セキュリティナレッジベースのソース：
  • ルールの出典は、CoSAI/OASIS によるオープンソースのモデル非依存セキュリティフレームワーク、Project CodeGuard です。

リポジトリのパスが指定されていない、または不明確な場合は、作業を進める前にユーザーに確認してください。

ワークフロー

1. Project CodeGuard からセキュリティナレッジベースを読み込む

   • まず、このスキルに同梱されている Security_Code_Reviewer_Guidelines.md ファイルを読みます。その目的とルールの読み込み方法に従ってレビューしてください。

   • Project CodeGuard からすべてのコアセキュリティルールを読み込みます：

     https://github.com/cosai-oasis/project-codeguard/tree/main/sources/rules/core
     

     これらは必須の基礎ルールであり、すべてのレビューで読み込む必要があります。

   • 検出された技術スタックに関連する OWASP ルールを、次の場所から読み込みます：

     https://github.com/cosai-oasis/project-codeguard/tree/main/sources/rules/owasp
     

     対象リポジトリの技術スタックに該当する OWASP ルールのみを読み込んでください。

2. 詳細なコード分析を実施する

   • リポジトリを行ごとにレビューします。
   • 次の項目に注目します：インジェクションの脆弱性、認証／認可、ハードコードされたシークレット、暗号化の誤用、SSRF、パストラバーサル、RCE の攻撃経路、XSS／CSRF、安全でないデシリアライズ、安全でないデフォルト設定／構成、サプライチェーンの問題。

3. レポートを Markdown 形式で作成します。

レポートの要件

• エグゼクティブサマリー
  • 重大度別（Critical／High／Medium／Low／Info）の検出件数
  • 最も重大な問題のトップ 5
  • 全体的なセキュリティ態勢
• 詳細な検出事項（問題ごと）
  • タイトル、重大度、ルール参照、場所、コードスニペット
  • 説明、影響、修正方法（例を含む）、参照資料
• カテゴリ別の検出事項
• 推奨事項
  • 直ちに実施する対応、短期（1～3 か月）、長期的な改善、ツール／プロセスに関する提案
• 付録
  • レビューしたファイル、適用したルール／対象範囲、方法に関する注記

出力

• レポートを次の場所に保存します：
  • ./security_report/sec_review_<repo-name>_<YYYY-MM-DD_HH-mm-ss>.md
  • <repo-name> には対象リポジトリのフォルダー名を使用し、空白は - に置き換えます。
  • 現在の作業ディレクトリにある security_report フォルダーに書き込みます。