workflow-security-audit について
脅威モデリングから修正、コンプライアンス確認までを扱う、エージェント向けのセキュリティ監査スキルです。スキャン、レビュー、テスト、検証、文書化を9段階に整理します。
主な機能
- 019段階のセキュリティ監査プロセス
- 02脅威モデリングとリスクの優先順位付け
- 03依存関係・コード・シークレットの自動スキャン
- 04手動レビューとペネトレーションテスト
- 05修正計画と修正内容の検証
- 06コンプライアンス確認と監査文書
活用シーン
- 01アプリケーションとインフラのリスク評価
- 02スキャンやコードレビューによる脆弱性の発見
- 03セキュリティ修正の計画と検証
- 04監査およびコンプライアンス文書の作成
インストール
コマンドをコピーしてターミナルで実行します。
$
npx skills add https:/インストール後、Claude Code で/workflow-security-auditを入力して読み込まれたか確認します。
詳細
セキュリティ監査ワークフロー
包括的なセキュリティ評価プロセスです。
フェーズ 1：脅威評価
エージェント： security-auditor
対象範囲：
- 認証と認可
- データ保護
- API セキュリティ
- 依存関係の脆弱性
- インフラストラクチャのセキュリティ
成果物： 脅威モデル、リスク評価、優先順位リスト
フェーズ 2：自動スキャン
エージェント： security-auditor
実行するツール：
- 依存関係チェック（npm audit、pip-audit、cargo audit）
- 静的解析（semgrep、bandit など）
- シークレットスキャン（trufflehog、gitleaks）
成果物： 深刻度評価を含む脆弱性レポート
フェーズ 3：手動コードレビュー
エージェント： security-auditor
重点項目：
- 入力の検証
- 出力のエンコーディング
- 認証ロジック
- 認可チェック
- 暗号化の使用
- セッション管理
フェーズ 4：侵入テスト
エージェント： security-auditor
テスト項目：
- SQL インジェクション
- XSS 攻撃
- CSRF 攻撃
- 認証のバイパス
- 権限昇格
フェーズ 5：修正計画
エージェント： requirements-analyst
- 脆弱性レポートから修正タスクを作成する
- 深刻度に基づいて優先順位を付ける
- スケジュールを見積もる
- リソースを割り当てる
フェーズ 6：修正の実装
ブロッキング： 次に進む前に検証が必要です
フェーズ 7：セキュリティ検証
エージェント： security-auditor
- 特定されたすべての脆弱性を再テストする
- 回帰チェック
- 修正によって新たな問題が発生していないことを確認する
フェーズ 8：ドキュメント作成
エージェント： technical-writer
- セキュリティ監査レポート
- コンプライアンス文書
- セキュリティのベストプラクティスガイド
フェーズ 9：コンプライアンスチェック
エージェント： security-auditor
標準：
- OWASP Top 10
- GDPR（該当する場合）
- SOC2（該当する場合）
- HIPAA（該当する場合）
成功基準
- すべての重大な脆弱性を修正済み
- すべての高深刻度の脆弱性を修正済み
- コンプライアンス要件を満たしている
- セキュリティテストに合格している
深刻度レベル
| レベル | 対応時間 | 例 |
|---|---|---|
| 重大 | 即時 | RCE、認証バイパス、データ侵害 |
| 高 | 24～48 時間 | SQL インジェクション、権限昇格 |
| 中 | 1 週間 | XSS、CSRF、情報漏えい |
| 低 | 次のスプリント | ベストプラクティス違反 |
コメント
Markdown 対応