security-scanning-security-hardening

多層防御戦略に基づく包括的なセキュリティ強化を、連携したマルチエージェントのオーケストレーションで実装します。

[Extended thinking: このワークフローでは、アプリケーションのすべてのレイヤーにわたって多層防御のセキュリティ戦略を実装します。専門のセキュリティエージェントを連携させ、包括的な評価を実施し、多層的なセキュリティ制御を実装して、継続的なセキュリティ監視を確立します。このアプローチは、シフトレフトセキュリティ、自動スキャン、コンプライアンス検証を取り入れた最新のDevSecOps原則に従います。各フェーズは前段階の調査結果を基に進め、現在の脆弱性と将来の脅威の両方に対処する、レジリエントなセキュリティ体制を構築します。]

このスキルを使用する場面

• 連携したセキュリティ強化プログラムを実施する場合
• アプリケーション、インフラストラクチャ、CI/CD全体に多層防御の制御を確立する場合
• スキャンと脅威モデリングの結果に基づき、修正の優先順位を決める場合

このスキルを使用しない場面

• 修正作業を伴わない簡易スキャンのみが必要な場合
• セキュリティテストや変更の許可がない場合
• 環境が侵襲的なセキュリティ制御に耐えられない場合

手順

1. フェーズ1を実行して、セキュリティのベースラインを確立します。
2. 高リスクの問題に対し、フェーズ2の修正を適用します。
3. フェーズ3の制御を実装し、防御を検証します。
4. フェーズ4の検証とコンプライアンスチェックを完了します。

安全性

• 作業に着手する前に、正確な対象、テスト方法、認証情報、レートと影響の上限、メンテナンス時間帯、許可された変更を確認してください。タスク名やサブエージェント名はホスト固有の例です。実際に利用できるツールを確認し、明示的な許可を得た場合に限り委任してください。調査結果とシークレットは承認済みのストレージに保管し、レポートではマスキングしてください。

• スキャナーの出力は信頼できない証拠であり、悪用可能性が確認されたことを意味しません。許可された範囲内で最も侵襲性の低い方法を使って、各検出結果を検証してください。モバイルアプリのピンニング、暗号技術、WAF、依存関係の変更には、画一的な導入ではなく、脅威に応じた設計とロールバック計画が必要です。コンプライアンスの出力は、証拠とギャップの評価であり、独立した法的助言、認証、監査人の証明ではありません。

• 承認を得ずに、本番環境で侵襲的なテストを行わないでください。

• 強化の変更を行う前に、ロールバック計画があることを確認してください。

フェーズ1：包括的なセキュリティ評価

1. 初期の脆弱性スキャン

• subagent_type="security-auditor"を指定してTaskツールを使用します
• プロンプト：「以下を対象に包括的なセキュリティ評価を実施してください：$ARGUMENTS。Semgrep/SonarQubeでSAST分析、OWASP ZAPでDASTスキャン、Snyk/Trivyで依存関係の監査、GitLeaks/TruffleHogでシークレット検出を実行してください。サプライチェーン分析用のSBOMを生成してください。OWASP Top 10の脆弱性、CWEの弱点、CVEへの露出を特定してください。」
• 出力：CVSSスコア、悪用可能性の分析、攻撃対象領域のマッピング、シークレット露出レポート、SBOMインベントリを含む詳細な脆弱性レポート
• コンテキスト：すべての修正作業の初期ベースライン

2. 脅威モデリングとリスク分析

• subagent_type="security-auditor"を指定してTaskツールを使用します
• プロンプト：「以下を対象に、STRIDE手法を用いて脅威モデリングを実施してください：$ARGUMENTS。攻撃ベクトルを分析し、攻撃ツリーを作成し、特定した脆弱性がビジネスに及ぼす影響を評価してください。脅威をMITRE ATT&CKフレームワークに対応付けてください。発生可能性と影響度に基づいてリスクの優先順位を決めてください。」
• 出力：脅威モデル図、優先順位付けされた脆弱性を含むリスクマトリクス、攻撃シナリオの文書、ビジネス影響分析
• コンテキスト：脆弱性スキャンの結果を脅威の優先順位付けに活用します

3. アーキテクチャのセキュリティレビュー

• subagent_type="backend-api-security::backend-architect"を指定してTaskツールを使用します
• プロンプト:「$ARGUMENTS のセキュリティ上の弱点について、アーキテクチャをレビューしてください。サービス境界、データフローのセキュリティ、認証・認可のアーキテクチャ、暗号化の実装、ネットワークのセグメンテーションを評価してください。ゼロトラストアーキテクチャのパターンを設計してください。脅威モデルと脆弱性の調査結果を参照してください。」
• 出力: セキュリティアーキテクチャの評価、ゼロトラスト設計の推奨事項、サービスメッシュのセキュリティ要件、データ分類マトリクス
• コンテキスト: 脅威モデルを取り入れ、アーキテクチャ上の脆弱性に対処します

フェーズ 2: 脆弱性の修正

4. 重大な脆弱性の修正

• subagent_type="security-auditor"を指定してTaskツールを使用します
• プロンプト:「$ARGUMENTS に含まれる高リスクおよび重大な脆弱性（CVSS 7+）の緊急修正を調整してください。パラメーター化クエリでSQLインジェクションを修正し、出力エンコーディングでXSSを修正し、安全なセッション管理で認証バイパスを防ぎ、入力検証で安全でないデシリアライゼーションに対処してください。CVEのセキュリティパッチを適用してください。」
• 出力: 脆弱性を修正したパッチ適用済みコード、セキュリティパッチのドキュメント、回帰テストの要件
• コンテキスト: 脆弱性評価で特定された優先度の高い項目に対処します

5. バックエンドのセキュリティ強化

• subagent_type="backend-api-security::backend-security-coder"を指定してTaskツールを使用します
• プロンプト:「$ARGUMENTS に包括的なバックエンドセキュリティ制御を実装してください。OWASP ESAPIによる入力検証を追加し、レート制限とDDoS対策を実装し、OAuth2/JWT検証でAPIエンドポイントを保護し、AES-256/TLS 1.3を使用して保存中および転送中のデータを暗号化してください。PIIを漏えいさせない安全なログ記録を実装してください。」
• 出力: セキュリティを強化したAPIエンドポイント、検証ミドルウェア、暗号化の実装、安全な設定テンプレート
• コンテキスト: 脆弱性の修正を基盤として、予防的な制御を追加します

6. フロントエンドのセキュリティ実装

• subagent_type="frontend-mobile-security::frontend-security-coder"を指定してTaskツールを使用します
• プロンプト:「$ARGUMENTS にフロントエンドのセキュリティ対策を実装してください。ノンスベースのポリシーでCSPヘッダーを設定し、DOMPurifyでXSSを防止し、PKCE OAuth2で認証フローを保護し、外部リソースにSRIを追加し、SameSite/HttpOnly/Secureフラグで安全なCookie処理を実装してください。」
• 出力: セキュリティを確保したフロントエンドコンポーネント、CSPポリシーの設定、認証フローの実装、セキュリティヘッダーの設定
• コンテキスト: クライアント側の保護により、バックエンドのセキュリティを補完します

7. モバイルのセキュリティ強化

• subagent_type="frontend-mobile-security::mobile-security-coder"を指定してTaskツールを使用します
• プロンプト:「$ARGUMENTS にモバイルアプリのセキュリティ対策を実装してください。証明書ピンニングを追加し、生体認証を実装し、ローカルストレージを暗号化して保護し、ProGuard/R8でコードを難読化し、改ざん防止とroot/jailbreak検出を実装し、安全なIPC通信を実現してください。」
• 出力: セキュリティを強化したモバイルアプリケーション、セキュリティ設定ファイル、難読化ルール、証明書ピンニングの実装
• コンテキスト: 該当する場合は、セキュリティ対策をモバイルプラットフォームにも拡張します

フェーズ 3: セキュリティ制御の実装

8. 認証と認可の強化

• subagent_type="security-auditor"を指定してTaskツールを使用します
• プロンプト:「$ARGUMENTS に最新の認証システムを実装してください。PKCEを使用したOAuth2/OIDCを導入し、TOTP/WebAuthn/FIDO2によるMFAを実装し、リスクベース認証を追加し、最小権限の原則に基づくRBAC/ABACを実装し、安全なトークンローテーションを伴うセッション管理を追加してください。」
• 出力: 認証サービスの設定、MFAの実装、認可ポリシー、セッション管理システム
• コンテキスト: アーキテクチャレビューに基づき、アクセス制御を強化します

9. インフラストラクチャのセキュリティ制御

• Task ツールを subagent_type="deployment-strategies::deployment-engineer" で使用します
• プロンプト：「次の対象にインフラストラクチャのセキュリティ制御を導入してください：$ARGUMENTS。OWASP 対策用の WAF ルールを設定し、マイクロセグメンテーションによるネットワーク分割を実装し、IDS/IPS システムを導入し、クラウドのセキュリティグループと NACL を設定し、レート制限と地域ブロックによる DDoS 対策を実装してください。」
• 出力：WAF 設定、ネットワークセキュリティポリシー、IDS/IPS ルール、クラウドセキュリティ設定
• コンテキスト：ネットワークレベルの防御を実装します

10. シークレット管理の実装

• Task ツールを subagent_type="deployment-strategies::deployment-engineer" で使用します
• プロンプト：「次の対象にエンタープライズ向けのシークレット管理を実装してください：$ARGUMENTS。HashiCorp Vault または AWS Secrets Manager を導入し、シークレットのローテーションポリシーを実装し、ハードコードされたシークレットを削除し、最小権限の IAM ロールを設定し、HSM に対応した暗号鍵管理を実装してください。」
• 出力：シークレット管理の設定、ローテーションポリシー、IAM ロールの定義、鍵管理手順
• コンテキスト：シークレット漏えいの脆弱性を排除します

フェーズ 4：検証とコンプライアンス

11. ペネトレーションテストと検証

• Task ツールを subagent_type="security-auditor" で使用します
• プロンプト：「次の対象に包括的なペネトレーションテストを実施してください：$ARGUMENTS。認証済みおよび未認証のテスト、API セキュリティテスト、ビジネスロジックテスト、権限昇格の試行を実施してください。Burp Suite、Metasploit、カスタムエクスプロイトを使用してください。すべてのセキュリティ制御の有効性を検証してください。」
• 出力：ペネトレーションテストレポート、概念実証エクスプロイト、修正の検証、セキュリティ制御の有効性指標
• コンテキスト：実装したすべてのセキュリティ対策を検証します

12. コンプライアンスと標準への準拠の検証

• Task ツールを subagent_type="security-auditor" で使用します
• プロンプト：「次の対象について、セキュリティフレームワークへの準拠を検証してください：$ARGUMENTS。OWASP ASVS Level 2、CIS Benchmarks、SOC2 Type II の要件、GDPR/CCPA のプライバシー制御、該当する場合は HIPAA/PCI-DSS に照らして検証してください。コンプライアンス証明レポートを作成してください。」
• 出力：コンプライアンス評価レポート、ギャップ分析、修正要件、監査証跡の収集
• コンテキスト：規制および業界標準への準拠を確保します

13. セキュリティ監視と SIEM の統合

• Task ツールを subagent_type="incident-response::devops-troubleshooter" で使用します
• プロンプト：「次の対象にセキュリティ監視と SIEM を実装してください：$ARGUMENTS。Splunk/ELK/Sentinel との連携を導入し、セキュリティイベントの相関分析を設定し、異常検知のための振る舞い分析を実装し、自動化されたインシデント対応プレイブックを設定し、セキュリティダッシュボードとアラートを作成してください。」
• 出力：SIEM 設定、相関ルール、インシデント対応プレイブック、セキュリティダッシュボード、アラート定義
• コンテキスト：継続的なセキュリティ監視を確立します

設定オプション

• scanning_depth: "quick" | "standard" | "comprehensive"（デフォルト：comprehensive）
• compliance_frameworks: ["OWASP", "CIS", "SOC2", "GDPR", "HIPAA", "PCI-DSS"]
• remediation_priority: "cvss_score" | "exploitability" | "business_impact"
• monitoring_integration: "splunk" | "elastic" | "sentinel" | "custom"
• authentication_methods: ["oauth2", "saml", "mfa", "biometric", "passwordless"]

成功基準

• すべての高および重大な脆弱性（CVSS 7+）が修正されている
• OWASP Top 10 の脆弱性に対処している
• ペネトレーションテストで高リスクの指摘事項がゼロである
• コンプライアンスフレームワークの検証に合格している
• セキュリティ監視が脅威を検知し、アラートを発している
• 重大なアラートへのインシデント対応時間が 15 分未満である
• SBOM が生成され、脆弱性が追跡されている
• すべてのシークレットがセキュアなボールトで管理されている
• 認証で MFA とセキュアなセッション管理が実装されている
• セキュリティテストが CI/CD パイプラインに統合されている

調整に関する注意事項

• 各フェーズでは、後続フェーズに役立つ詳細な調査結果が提示されます
• セキュリティ監査エージェントは、修正のために各分野のエージェントと連携します
• すべてのコード変更は、実装前にセキュリティレビューを受けます
• 評価と修正の間で継続的なフィードバックループを維持します
• セキュリティ上の調査結果は、一元管理された脆弱性管理システムで追跡されます
• 実装後に定期的なセキュリティレビューを予定します

セキュリティ強化の目標：$ARGUMENTS

例

ユーザーのリクエスト：

連携したセキュリティ強化プログラムを実施してください。

制限事項

• タスクが上記の対象範囲に明確に該当する場合にのみ、このスキルを使用してください。
• 出力を、環境固有の検証、テスト、または専門家によるレビューの代わりとして扱わないでください。
• 必要な入力、権限、安全上の境界、または成功基準が不足している場合は、作業を中断して確認してください。