vulnerability-scanning

脆弱性スキャン

目次

• 概要
• 使用する場面
• クイックスタート
• リファレンスガイド
• ベストプラクティス

概要

自動スキャンツールと手動のセキュリティ評価を使用して、アプリケーション、依存関係、インフラストラクチャのセキュリティ脆弱性を体系的に特定します。

使用する場面

• デプロイ前のセキュリティチェック
• 継続的なセキュリティ監視
• コンプライアンス監査（PCI-DSS、SOC 2）
• 依存関係の脆弱性検出
• コンテナーのセキュリティスキャン
• インフラストラクチャのセキュリティ評価

クイックスタート

最小限の動作例：

// scanner.js - Comprehensive vulnerability scanning
const { exec } = require("child_process");
const util = require("util");
const fs = require("fs").promises;

const execPromise = util.promisify(exec);

class VulnerabilityScanner {
  constructor() {
    this.results = {
      dependencies: [],
      code: [],
      docker: [],
      secrets: [],
    };
  }

  async scanDependencies() {
    console.log("Scanning dependencies with npm audit...");

    try {
      const { stdout } = await execPromise("npm audit --json");
      const auditResults = JSON.parse(stdout);

      for (const [name, advisory] of Object.entries(
// ... (see reference guides for full implementation)

リファレンスガイド

詳細な実装については、references/ ディレクトリを参照してください。

ガイド	内容
Node.js 脆弱性スキャナー	Node.js 脆弱性スキャナー
Python OWASP スキャナー	Python OWASP スキャナー
CI/CD 統合 - GitHub Actions	CI/CD 統合 - GitHub Actions

ベストプラクティス

✅ 実施すること

• CI/CD でスキャンを自動化する
• 依存関係を定期的にスキャンする
• 複数のスキャンツールを使用する
• 重大度のしきい値を設定する
• 脆弱性の傾向を追跡する
• コンテナーとイメージをスキャンする
• CVE データベースを監視する
• 誤検知を記録する

❌ 実施しないこと

• 脆弱性スキャンを省略する
• 重大度の低い問題を無視する
• 単一のスキャンツールを過信する
• セキュリティゲートを回避する
• リポジトリにシークレットをコミットする