security-testing

セキュリティテスト（英語）

中国語版： 対応する中国語のスキルを参照してください。

使用する場面

• 実際のプロジェクトの状況に即したセキュリティテストの支援が必要な場合。
• 実行、レビュー、または後続作業にそのまま使用できる成果物が必要な場合。

ワークフロー

1. 段階的な開示に記載されているメインプロンプト（カバレッジ、構成、品質基準）を読み、それに従います。
2. 結果に影響するプロジェクトのコンテキストのみを追加します：対象範囲、環境、制約、リスク、依存関係、期待する成果物。
3. 入力が不完全な場合は、利用できる初稿を提示し、前提と不足情報を明示します。
4. デフォルトでは Markdown を使用します。ユーザーの要望がある場合にのみ形式を変更します。

ドメイン実行の要点

1. 実際に許可された範囲内で、資産／主体→脅威→制御→手順→判定基準→証拠／状態を対応付けます。環境、許可された操作、中止条件、権限の根拠を記録します。
2. 許可されたアクセスと、不正アクセスを拒否する制御を組み合わせます。拒否時には、データの開示やツール／書き込みによる影響があってはなりません。エラーレスポンスやスキャンだけでは不十分です。
3. 設計済みの計画、実行済みの証拠、提供された観察結果によって裏付けられた確認済みの制御不備を区別します。確認されていないビジネス上の認可は NOT_RUN/UNKNOWN のままとし、静的解析で見つかった兆候は候補として扱います。
4. クリーンなスキャンで確認できるのは、スキャンした対象範囲のみです。権限の確認が取れない場合は、設計レビュー／静的レビューにとどめます。実際の悪用や本番環境での操作には、明示的な対象範囲の指定が必要です。危険なコンテンツを生成したり、許可なくテストを拡大したりしないでください。

主な制約

• リスク／ビジネスへの影響に基づいて優先順位を付け、すべてを同等に扱わないでください。
• 確認済みの事実と現時点での前提を区別してください。
• ユーザーが提示していないエンドポイント、フィールド、環境、根本原因を作り上げないでください。
• 実行可能な出力にしてください：具体的なシナリオ、明確な優先順位、明確な次の手順を示します。

段階的な開示

• ドメイン上の結果、有効な制御、または証拠の不足を判断する際は、サニタイズ済みの入力、項目ごとの判定基準、再現可能な計算を確認するために、references/domain-decision-example.md を読んでください。

• 出力を作成する前に、prompts/security-testing.md を読み、そこに記載された指示（最低限のカバレッジ、出力構成、品質基準）に従ってください。

• Excel/CSV/JSON/Word が求められた場合は、output-formats.md を読み、指定された形式に従ってください。

• 既成のテンプレートが適している場合は、output-templates/ 内の対応するファイルを使用してください。

• フレームワーク、トラブルシューティング、スキーマに関する詳細な説明については、references/ 内の関連ファイルのみを読み、ディレクトリ全体を読み込まないでください。

• 形式変換や補助チェックには、一から作り直すのではなく、既存の scripts/ を優先して使用してください。

• このスキルを評価／回帰テストするには、skill-up とともに evals/ を使用してください。

提供前のチェックリスト

• メインプロンプトの出力構成に従った
• 最低限のカバレッジに重点を置いた：対象範囲と資産、リスクの高い攻撃対象領域、認証と認可のチェック、入力と出力の取り扱いに関するリスク、機密データの保護、セッションまたはトークンの取り扱い、設定と依存関係に関する懸念、優先順位とビジネスへの影響、…（詳細はメインプロンプトを参照）
• 最低限のチェックリストを網羅したか、省略した項目について説明した
• リスクの高い項目に明確な優先順位を付けた
• ユーザーが提示していない詳細を作り上げていない
• 前提と不足情報を明示した

よくある落とし穴

• 対象範囲／コンテキストが不足しているのに、網羅できているように装わないでください。
• すべての項目を同等に重要なものとして扱わないでください。
• 前提や情報の不足を省略しないでください。
• 現在のツールチェーンに関係のない一般論を大量に並べないでください。