mcpField
S
security-scanning

security-scanning

github.com/bobmatnycセキュリティ78372 回インストール15 週間前に更新
リポジトリ

security-scanning について

シークレット、依存関係、SAST の検出結果、オープンソース部品のリスク評価を支援するセキュリティスキャンスキルです。リスク判定基準と例外管理の手順を示します。

主な機能

  1. 01漏えいしたシークレットの調査とローテーション
  2. 02深刻度に基づく依存関係のゲート設定
  3. 03高精度な SAST チェックの導入
  4. 04ライセンス、CVE、陳腐化の評価
  5. 05例外に理由、担当者、期限を必須化

活用シーン

  1. 01依存関係のセキュリティゲート設定
  2. 02サードパーティ部品のリスク評価
  3. 03脆弱性修正の優先順位付け
  4. 04期限付きセキュリティ例外の管理

インストール

コマンドをコピーしてターミナルで実行します。

$npx skills add https://github.com/bobmatnyc/claude-mpm-skills --skill security-scanning

インストール後、Claude Code で/security-scanningを入力して読み込まれたか確認します。

同梱ファイル

SKILL.md と一緒にインストールされる参考資料やスクリプト。

metadata.json
references/
ci-workflows.md
common-findings-and-fixes.md
open-source-safety.md
supply-chain-and-sbom.md
tooling-matrix.md
triage-and-remediation.md

詳細

セキュリティスキャン

クイックスタート

  • シークレット：速やかに失敗させ、漏えいした場合はローテーションします。
  • 依存関係：重大／高の脆弱性をゲートでブロックし、更新を自動化します。
  • SAST：まずは精度の高い検出から始め、時間をかけて基準を引き上げます。
  • オープンソースの安全性：ライセンスのティア、深刻度で重み付けした CVE、陳腐化度の 3 つの軸でコンポーネントを評価します。
  • 例外：理由、担当者、有効期限を必須とします。

オープンソースの安全性

サードパーティ製コンポーネントのリスクは、「脆弱性あり／なし」だけではありません。各コンポーネントを 独立した 3 つの観点から評価し、最もリスクの高いものを基準にゲートします。

  • ライセンスリスク： HIGH = 強いコピーレフト／GPL/AGPL/LGPL（アプリ全体の開示リスク）； MEDIUM = 弱いコピーレフト／MPL、EPL（変更部分のみ開示）；LOW = 寛容なライセンス／ MIT、Apache-2.0、BSD。不明／NOASSERTION → 特定されるまでは HIGH として扱います。
  • CVE の重み付け： 単純な件数ではなく、深刻度（critical ≫ high ≫ medium ≫ low）に応じて重み付けします。critical/high はブロックし、medium/low は担当者と有効期限を設定して追跡します。
  • 陳腐化度： 最新バージョンとの差を評価します。メジャーバージョンが遅れている場合や、上流で保守されていない場合はリスクが高まります。

完全なフレームワーク、ティア表、CVE の重み付けモデル、陳腐化度のスコアリング、推移的依存関係の信頼モデルについては、references/open-source-safety.md を参照してください。

次に読む（リファレンス）

  • references/tooling-matrix.md
  • references/ci-workflows.md
  • references/triage-and-remediation.md
  • references/common-findings-and-fixes.md
  • references/supply-chain-and-sbom.md
  • references/open-source-safety.md

コメント

Markdown 対応