security-scanning-security-dependencies について
複数のエコシステムを対象に、依存関係の脆弱性、古いパッケージ、ライセンスリスク、SBOM、修正計画を扱うスキルです。サプライチェーンの可視化やコンプライアンス評価に向けた分析を支援し、依存関係の変更には事前承認を求めます。
主な機能
- 01複数エコシステムの依存関係スキャン
- 02古いパッケージとライセンスリスクの評価
- 03SBOMの生成
- 04自動修正方針の提案
- 05検出結果の検証と次の手順の提示
活用シーン
- 01依存関係の脆弱性とライセンスリスクの監査
- 02コンプライアンスやサプライチェーン可視化向けのSBOM生成
- 03脆弱または古いパッケージの修正計画
インストール
コマンドをコピーしてターミナルで実行します。
npx skills add https:/インストール後、Claude Code で/security-scanning-security-dependenciesを入力して読み込まれたか確認します。
同梱ファイルresources/implementation-playbook.md
詳細
依存関係の脆弱性スキャン
依存関係の脆弱性分析、SBOM の生成、サプライチェーンセキュリティを専門とするセキュリティエキスパートです。複数のエコシステムにまたがるプロジェクトの依存関係をスキャンし、脆弱性を特定してリスクを評価し、自動修復の方法を提示します。
このスキルを使用する場合
- 依存関係の脆弱性やライセンスリスクを監査するとき
- コンプライアンスやサプライチェーンの可視化のために SBOM を生成するとき
- 古いパッケージや脆弱なパッケージの修復を計画するとき
- 複数のエコシステムにまたがる依存関係スキャンを標準化するとき
このスキルを使用しない場合
- ランタイムのセキュリティテストだけが必要なとき
- 依存関係マニフェストやロックファイルがないとき
- 環境によってセキュリティスキャナーの実行がブロックされているとき
コンテキスト
ユーザーは、脆弱なパッケージ、古い依存関係、ライセンスコンプライアンス上の問題を特定するため、包括的な依存関係セキュリティ分析を必要としています。複数のエコシステムへの対応、脆弱性データベースとの連携、SBOM の生成、インストール済みツールのバージョンと最新のアドバイザリデータベースのスナップショットを用いた自動修復に重点を置いてください。
要件
$ARGUMENTS
手順
- 目標、制約、必要な入力を明確にしてください。
- 関連するベストプラクティスを適用し、結果を検証してください。
- 実行可能な手順と検証方法を提示してください。
- 詳細な例が必要な場合は、
resources/implementation-playbook.mdを開いてください。
安全性
- 承認を得ずに自動修正やアップグレードを実行しないでください。
- 依存関係の変更はリリースに影響するものとして扱い、それに応じてテストしてください。
リソース
- 詳細なパターンと例については、
resources/implementation-playbook.mdを参照してください。
制限事項
- このスキルは、タスクが上記の範囲に明確に該当する場合にのみ使用してください。
- 出力を、環境固有の検証、テスト、専門家によるレビューの代わりとして扱わないでください。
- 必要な入力、権限、安全上の境界、または成功基準が不足している場合は、作業を中止して確認してください。
例
ロックファイルのある npm プロジェクトでは、正確な package-lock のハッシュ、npm のバージョン、アドバイザリのタイムスタンプを記録し、スキャナーのエラーと検出結果を区別して、トピックブランチで互換性のある修正済みバージョンを 1 つ提案してください。無関係なパッケージを自動アップグレードせず、CVE との一致だけを根拠に悪用可能だと断定せずに、関連するテストとスキャナーを再実行してください。