mcpField
T
testing-security

testing-security

github.com/wojonsセキュリティ336 回インストール30 週間前に更新
リポジトリ

testing-security について

アプリケーションやインフラの開発者向けに、脆弱性や弱点、潜在的な脅威を調べるセキュリティテストスキルです。スキャンや侵入テストに加え、設定、認証、データ保護も確認します。

主な機能

  1. 01既知の脆弱性スキャン
  2. 02攻撃を模した侵入テスト
  3. 03認証・認可テスト
  4. 04入力検証とインジェクション検査
  5. 05設定とデータ保護のレビュー

活用シーン

  1. 01機密データを扱うアプリのリスク評価
  2. 02セキュリティ監査や侵入テストの準備
  3. 03認証・認可システムの確認
  4. 04デプロイ設定と入力処理の検証

インストール

コマンドをコピーしてターミナルで実行します。

$npx skills add https://github.com/wojons/skills --skill testing-security

インストール後、Claude Code で/testing-securityを入力して読み込まれたか確認します。

同梱ファイル

SKILL.md と一緒にインストールされる参考資料やスクリプト。

README.md
references/
README.md
scripts/
example.sh

詳細

セキュリティテスト

アプリケーションやインフラストラクチャにおける脆弱性、セキュリティ上の弱点、潜在的な脅威を特定します。

どのようなときに使うか

次のような場合に、このスキルを使用してください：

  • 機密データを扱うアプリケーションを開発するとき
  • セキュリティ基準（ISO 27001、SOC 2、HIPAA）に準拠するとき
  • セキュリティ監査や侵入テストに備えるとき
  • 認証および認可システムをテストするとき
  • 一般的な脆弱性（OWASP Top 10）を確認するとき
  • 入力の検証とサニタイズを検証するとき
  • 安全な設定とデプロイを確保するとき

実行内容

  • 既知のセキュリティ問題を対象とした脆弱性スキャン
  • 実際の攻撃をシミュレートする侵入テスト
  • 認証および認可のテスト
  • 入力検証とインジェクションのテスト
  • セキュリティ設定のレビュー
  • データ保護と暗号化のテスト
  • セッション管理とCookieのセキュリティテスト
  • APIセキュリティテストとレート制限の確認

例

# Security scanning tools
npm audit                         # Node.js dependency vulnerabilities
snyk test                        # Snyk vulnerability scanning
trivy image myapp:latest         # Container vulnerability scanning
bandit -r src/                   # Python security scanner
gosec ./...                     # Go security checker

# SAST (Static Application Security Testing)
semgrep scan --config auto       # Semgrep SAST
brakeman -A -w1                  # Ruby on Rails security scanner
sonarqube scan                  # Comprehensive code analysis

# DAST (Dynamic Application Security Testing)
zap-baseline.py -t https://app.example.com  # OWASP ZAP
nikto -h https://app.example.com             # Web server scanner

# Dependency checking
npm audit fix                   # Fix Node.js vulnerabilities
bundler-audit check             # Ruby gem vulnerabilities
pip-audit                      # Python package vulnerabilities

出力形式

Security Test Results:
──────────────────────────────
Critical Vulnerabilities (3):
  ❌ SQL Injection in user search endpoint
    Risk: High | CVE-2023-12345
    Fix: Use parameterized queries
    
  ❌ Hard-coded API key in config file
    Risk: Critical | CWE-798
    Fix: Move to environment variables
    
  ❌ Missing rate limiting on login endpoint
    Risk: Medium | CWE-770
    Fix: Implement rate limiting

Medium Vulnerabilities (7):
  ⚠️ Missing security headers (CSP, HSTS)
  ⚠️ Verbose error messages expose system info
  ⚠️ Session timeout too long (24 hours)

Dependency Vulnerabilities:
  ⚠️ lodash 4.17.15: Prototype pollution (CVE-2020-8203)
  ✅ All other dependencies up to date

Summary: 3 critical, 7 medium issues found
Recommendation: Fix critical issues before release

注意事項

  • WebアプリケーションのセキュリティにはOWASP Top 10に従ってください
  • 認証済みアクセスと未認証アクセスの両方をテストしてください
  • ビジネスロジックの脆弱性を確認してください
  • 設計段階で脅威モデリングを検討してください
  • CI/CDパイプラインにセキュリティを組み込んでください
  • セキュリティスキャンと侵入テストを定期的に実施してください
  • セキュリティパッチを適用して依存関係を最新の状態に保ってください
  • 開発者にセキュアコーディングの実践方法を周知してください

コメント

Markdown 対応