security-scanning-security-hardening

多層防御戦略による包括的なセキュリティ強化を、協調的なマルチエージェントオーケストレーションを通じて実装します：

[拡張思考: このワークフローは、アプリケーションのすべての層にわたって多層防御のセキュリティ戦略を実装します。専門化されたセキュリティエージェントを調整して、包括的な評価を実施し、階層化されたセキュリティ制御を実装し、継続的なセキュリティ監視を確立します。このアプローチは、シフトレフトセキュリティ、自動スキャン、コンプライアンス検証を取り入れた現代の DevSecOps 原則に従っています。各フェーズは前のフェーズの調査結果に基づいて構築され、現在の脆弱性と将来の脅威の両方に対処する回復力のあるセキュリティ態勢を実現します。]

このスキルを使用する場合

• 調整されたセキュリティ強化プログラムを実行する場合
• アプリ、インフラ、CI/CD 全体に多層防御の制御を確立する場合
• スキャンと脅威モデリングから修復の優先順位を付ける場合

このスキルを使用しない場合

• 修復作業を伴わない簡単なスキャンだけが必要な場合
• セキュリティテストや変更に対する承認がない場合
• 環境が侵襲的なセキュリティ制御に耐えられない場合

手順

1. フェーズ 1 を実行してセキュリティベースラインを確立します。
2. フェーズ 2 の修復を適用して高リスクの問題に対処します。
3. フェーズ 3 の制御を実装し、防御を検証します。
4. フェーズ 4 の検証とコンプライアンスチェックを完了します。

安全性

• 承認なしに本番環境で侵襲的なテストを避けてください。
• 強化の変更前にロールバック計画が存在することを確認してください。

フェーズ 1: 包括的なセキュリティ評価

1. 初期脆弱性スキャン

• subagent_type="security-auditor" で Task ツールを使用する
• プロンプト: 「以下に対して包括的なセキュリティ評価を実行してください: $ARGUMENTS。Semgrep/SonarQube による SAST 分析、OWASP ZAP による DAST スキャン、Snyk/Trivy による依存関係監査、GitLeaks/TruffleHog によるシークレット検出を実行してください。サプライチェーン分析のために SBOM を生成してください。OWASP Top 10 の脆弱性、CWE の弱点、CVE の露出を特定してください。」
• 出力: CVSS スコア、悪用可能性分析、攻撃対象領域のマッピング、シークレット露出レポート、SBOM インベントリを含む詳細な脆弱性レポート
• コンテキスト: すべての修復作業のための初期ベースライン

2. 脅威モデリングとリスク分析

• subagent_type="security-auditor" で Task ツールを使用する
• プロンプト: 「以下に対して STRIDE 手法を用いた脅威モデリングを実施してください: $ARGUMENTS。攻撃ベクトルを分析し、攻撃ツリーを作成し、特定された脆弱性のビジネス影響を評価してください。脅威を MITRE ATT&CK フレームワークにマッピングしてください。可能性と影響に基づいてリスクを優先順位付けしてください。」
• 出力: 脅威モデル図、優先順位付けされた脆弱性を含むリスクマトリクス、攻撃シナリオの文書化、ビジネス影響分析
• コンテキスト: 脆弱性スキャンの結果を使用して脅威の優先順位を決定

3. アーキテクチャのセキュリティレビュー

• subagent_type="backend-api-security::backend-architect" で Task ツールを使用する
• プロンプト: 「以下におけるセキュリティ上の弱点についてアーキテクチャをレビューしてください: $ARGUMENTS。サービス境界、データフローのセキュリティ、認証/認可アーキテクチャ、暗号化の実装、ネットワークセグメンテーションを評価してください。ゼロトラストアーキテクチャパターンを設計してください。脅威モデルと脆弱性の調査結果を参照してください。」
• 出力: セキュリティアーキテクチャ評価、ゼロトラスト設計の推奨事項、サービスメッシュのセキュリティ要件、データ分類マトリクス
• コンテキスト: 脅威モデルを取り込み、アーキテクチャ上の脆弱性に対処

フェーズ 2: 脆弱性の修復

4. 重大な脆弱性の修正

• subagent_type="security-auditor" で Task ツールを使用する
• プロンプト: 「以下における重大な脆弱性（CVSS 7 以上）の即時修復を調整してください: $ARGUMENTS。SQL インジェクションをパラメータ化クエリで、XSS を出力エンコーディングで、認証バイパスを安全なセッション管理で、安全でないデシリアライゼーションを入力検証で修正してください。CVE に対するセキュリティパッチを適用してください。」
• 出力: 脆弱性修正を含むパッチ適用済みコード、セキュリティパッチの文書化、リグレッションテストの要件
• コンテキスト: 脆弱性評価から高優先度の項目に対処

5. バックエンドセキュリティ強化

• subagent_type="backend-api-security::backend-security-coder" で Task ツールを使用します
• プロンプト: 「$ARGUMENTS に対して包括的なバックエンドセキュリティ制御を実装してください。OWASP ESAPI による入力検証を追加し、レート制限と DDoS 対策を実装し、OAuth2/JWT 検証で API エンドポイントを保護し、AES-256/TLS 1.3 を使用して保存時/転送時のデータ暗号化を追加してください。PII を露出しない安全なログ記録を実装してください。」
• 出力: 強化された API エンドポイント、検証ミドルウェア、暗号化の実装、安全な設定テンプレート
• コンテキスト: 脆弱性修正を土台に、予防的制御を追加します

6. フロントエンドセキュリティ実装

• subagent_type="frontend-mobile-security::frontend-security-coder" で Task ツールを使用します
• プロンプト: 「$ARGUMENTS に対してフロントエンドのセキュリティ対策を実装してください。nonce ベースのポリシーで CSP ヘッダーを構成し、DOMPurify で XSS 対策を実装し、PKCE OAuth2 で認証フローを保護し、外部リソースに SRI を追加し、SameSite/HttpOnly/Secure フラグによる安全な Cookie 処理を実装してください。」
• 出力: 安全なフロントエンドコンポーネント、CSP ポリシー設定、認証フローの実装、セキュリティヘッダー設定
• コンテキスト: クライアント側の保護でバックエンドセキュリティを補完します

7. モバイルセキュリティ強化

• subagent_type="frontend-mobile-security::mobile-security-coder" で Task ツールを使用します
• プロンプト: 「$ARGUMENTS に対してモバイルアプリのセキュリティを実装してください。証明書ピンニングを追加し、生体認証を実装し、暗号化でローカルストレージを保護し、ProGuard/R8 でコードを難読化し、改ざん防止および root/ジェイルブレイク検出を実装し、IPC 通信を保護してください。」
• 出力: 強化されたモバイルアプリケーション、セキュリティ設定ファイル、難読化ルール、証明書ピンニングの実装
• コンテキスト: 該当する場合、セキュリティをモバイルプラットフォームに拡張します

フェーズ 3: セキュリティ制御の実装

8. 認証と認可の強化

• subagent_type="security-auditor" で Task ツールを使用します
• プロンプト: 「$ARGUMENTS に対して最新の認証システムを実装してください。PKCE を備えた OAuth2/OIDC を導入し、TOTP/WebAuthn/FIDO2 による MFA を実装し、リスクベース認証を追加し、最小権限の原則に基づく RBAC/ABAC を実装し、安全なトークンローテーションによるセッション管理を追加してください。」
• 出力: 認証サービスの設定、MFA の実装、認可ポリシー、セッション管理システム
• コンテキスト: アーキテクチャレビューに基づいてアクセス制御を強化します

9. インフラストラクチャのセキュリティ制御

• subagent_type="deployment-strategies::deployment-engineer" で Task ツールを使用します
• プロンプト: 「$ARGUMENTS に対してインフラストラクチャのセキュリティ制御を展開してください。OWASP 対策の WAF ルールを構成し、マイクロセグメンテーションによるネットワーク分離を実装し、IDS/IPS システムを導入し、クラウドのセキュリティグループと NACL を構成し、レート制限とジオブロッキングによる DDoS 対策を実装してください。」
• 出力: WAF 設定、ネットワークセキュリティポリシー、IDS/IPS ルール、クラウドセキュリティ設定
• コンテキスト: ネットワークレベルの防御を実装します

10. シークレット管理の実装

• subagent_type="deployment-strategies::deployment-engineer" で Task ツールを使用します
• プロンプト: 「$ARGUMENTS に対してエンタープライズ向けのシークレット管理を実装してください。HashiCorp Vault または AWS Secrets Manager を導入し、シークレットローテーションポリシーを実装し、ハードコードされたシークレットを削除し、最小権限の IAM ロールを構成し、HSM サポートによる暗号化キー管理を実装してください。」
• 出力: シークレット管理の設定、ローテーションポリシー、IAM ロール定義、キー管理手順
• コンテキスト: シークレット露出の脆弱性を排除します

フェーズ 4: 検証とコンプライアンス

11. ペネトレーションテストと検証

• Task ツールを subagent_type="security-auditor" で使用します
• プロンプト: 「次の対象に対して、包括的なペネトレーションテストを実施してください：$ARGUMENTS。認証済みおよび未認証のテスト、API セキュリティテスト、ビジネスロジックテスト、権限昇格の試行を実施してください。Burp Suite、Metasploit、カスタムエクスプロイトを使用してください。すべてのセキュリティ制御の有効性を検証してください。」
• 出力: ペネトレーションテストレポート、概念実証エクスプロイト、修正の検証、セキュリティ制御の有効性指標
• コンテキスト: 実装されたすべてのセキュリティ対策を検証します

12. コンプライアンスと標準規格の検証

• Task ツールを subagent_type="security-auditor" で使用します
• プロンプト: 「次の対象について、セキュリティフレームワークへの準拠を確認してください：$ARGUMENTS。OWASP ASVS Level 2、CIS Benchmarks、SOC2 Type II の要件、GDPR/CCPA のプライバシー制御、該当する場合は HIPAA/PCI-DSS に照らして検証してください。コンプライアンス証明レポートを作成してください。」
• 出力: コンプライアンス評価レポート、ギャップ分析、修正要件、監査証拠の収集
• コンテキスト: 規制および業界標準への準拠を確保します

13. セキュリティ監視と SIEM 統合

• Task ツールを subagent_type="incident-response::devops-troubleshooter" で使用します
• プロンプト: 「次の対象に対して、セキュリティ監視と SIEM を実装してください：$ARGUMENTS。Splunk/ELK/Sentinel との統合をデプロイし、セキュリティイベントの相関分析を設定し、異常検知のための振る舞い分析を実装し、インシデント対応の自動プレイブックを設定し、セキュリティダッシュボードとアラートを作成してください。」
• 出力: SIEM 設定、相関ルール、インシデント対応プレイブック、セキュリティダッシュボード、アラート定義
• コンテキスト: 継続的なセキュリティ監視を確立します

設定オプション

• scanning_depth: "quick" | "standard" | "comprehensive"（デフォルト: comprehensive）
• compliance_frameworks: ["OWASP", "CIS", "SOC2", "GDPR", "HIPAA", "PCI-DSS"]
• remediation_priority: "cvss_score" | "exploitability" | "business_impact"
• monitoring_integration: "splunk" | "elastic" | "sentinel" | "custom"
• authentication_methods: ["oauth2", "saml", "mfa", "biometric", "passwordless"]

成功基準

• すべての重大な脆弱性（CVSS 7+）が修正されている
• OWASP Top 10 の脆弱性に対処している
• ペネトレーションテストで高リスクの検出事項がゼロである
• コンプライアンスフレームワークの検証に合格している
• セキュリティ監視が脅威を検知し、アラートを発している
• 重大なアラートへのインシデント対応時間が 15 分未満である
• SBOM が生成され、脆弱性が追跡されている
• すべてのシークレットがセキュアな保管庫で管理されている
• 認証に MFA と安全なセッション管理が実装されている
• セキュリティテストが CI/CD パイプラインに統合されている

連携に関する注意事項

• 各フェーズで詳細な検出事項を提示し、後続のフェーズに反映します
• Security-auditor エージェントは、修正にあたりドメイン固有のエージェントと連携します
• コード変更はすべて、実装前にセキュリティレビューを受けます
• 評価と修正の間で継続的なフィードバックループを設けます
• セキュリティ上の検出事項は一元管理された脆弱性管理システムで追跡します
• 実装後の定期的なセキュリティレビューを予定します

セキュリティ強化の対象: $ARGUMENTS