セキュリティ監査ワークフロー バンドル

概要

Webアプリケーション、API、インフラストラクチャ向けの包括的なセキュリティ監査ワークフロー。このバンドルは、ペネトレーションテスト、脆弱性評価、セキュリティスキャン、および修復のスキルを統合しています。

このワークフローを使用する場合

以下の場合にこのワークフローを使用してください:

• Webアプリケーションのセキュリティ監査を実施する
• API セキュリティをテストする
• ペネトレーションテストを実施する
• 脆弱性をスキャンする
• アプリケーションセキュリティを強化する
• コンプライアンスセキュリティ評価を行う

ワークフローフェーズ

フェーズ 1: 偵察

呼び出すスキル

• scanning-tools - セキュリティスキャン
• shodan-reconnaissance - Shodan 検索
• top-web-vulnerabilities - OWASP Top 10

アクション

1. ターゲットスコープを特定する
2. インテリジェンスを収集する
3. 攻撃対象領域をマッピングする
4. 使用技術を特定する
5. 調査結果を文書化する

コピーペーストプロンプト

Use @scanning-tools to perform initial reconnaissance

Use @shodan-reconnaissance to find exposed services

フェーズ 2: 脆弱性スキャン

呼び出すスキル

• vulnerability-scanner - 脆弱性分析
• security-scanning-security-sast - 静的分析
• security-scanning-security-dependencies - 依存関係スキャン

アクション

1. 自動スキャナーを実行する
2. 静的分析を実施する
3. 依存関係をスキャンする
4. 誤設定を特定する
5. 脆弱性を文書化する

コピーペーストプロンプト

Use @vulnerability-scanner to scan for OWASP Top 10 vulnerabilities

Use @security-scanning-security-dependencies to audit dependencies

フェーズ 3: Webアプリケーションテスト

呼び出すスキル

• top-web-vulnerabilities - OWASP 脆弱性
• sql-injection-testing - SQLインジェクション
• xss-html-injection - XSS テスト
• broken-authentication - 認証テスト
• idor-testing - IDOR テスト
• file-path-traversal - パストトラバーサル
• burp-suite-testing - Burp Suite テスト

アクション

1. インジェクション欠陥をテストする
2. 認証メカニズムをテストする
3. セッション管理をテストする
4. アクセス制御をテストする
5. 入力検証をテストする
6. セキュリティヘッダーをテストする

コピーペーストプロンプト

Use @sql-injection-testing to test for SQL injection vulnerabilities

Use @xss-html-injection to test for cross-site scripting

Use @broken-authentication to test authentication security

フェーズ 4: API セキュリティテスト

呼び出すスキル

• api-fuzzing-bug-bounty - API ファジング
• api-security-best-practices - API セキュリティ

アクション

1. API エンドポイントを列挙する
2. 認証/認可をテストする
3. レート制限をテストする
4. 入力検証をテストする
5. エラーハンドリングをテストする
6. API 脆弱性を文書化する

コピーペーストプロンプト

Use @api-fuzzing-bug-bounty to fuzz API endpoints

フェーズ 5: ペネトレーションテスト

呼び出すスキル

• pentest-commands - ペネトレーションテストコマンド
• pentest-checklist - ペネテスト計画
• ethical-hacking-methodology - 倫理的ハッキング
• metasploit-framework - Metasploit

アクション

1. ペネトレーションテストを計画する
2. 攻撃シナリオを実行する
3. 脆弱性を悪用する
4. 概念実証を文書化する
5. 影響を評価する

コピーペーストプロンプト

Use @pentest-checklist to plan penetration test

Use @pentest-commands to execute penetration testing

フェーズ 6: セキュリティ強化

呼び出すスキル

• security-scanning-security-hardening - セキュリティ強化
• auth-implementation-patterns - 認証
• api-security-best-practices - API セキュリティ

アクション

1. セキュリティ制御を実装する
2. セキュリティヘッダーを設定する
3. 認証をセットアップする
4. 認可を実装する
5. ログ記録を設定する
6. パッチを適用する

コピーペーストプロンプト

Use @security-scanning-security-hardening to harden application security

フェーズ 7: レポーティング

呼び出すスキル

• reporting-standards - セキュリティレポーティング

アクション

1. 調査結果を文書化する
2. リスクレベルを評価する
3. 修復ステップを提供する
4. エグゼクティブサマリーを作成する
5. 技術レポートを生成する

セキュリティテストチェックリスト

OWASP Top 10

• インジェクション (SQL, NoSQL, OS, LDAP)
• 認証の破損
• 機密データの漏洩
• XML 外部エンティティ (XXE)
• アクセス制御の破損
• セキュリティ設定ミス
• クロスサイトスクリプティング (XSS)
• 安全でないデシリアライゼーション
• 既知の脆弱性を持つコンポーネントの使用
• ロギングと監視の不十分さ

API セキュリティ

• 認証メカニズム
• 認可チェック
• レート制限
• 入力検証
• エラーハンドリング
• セキュリティヘッダー

品質ゲート

• 計画されたすべてのテストが実行された
• 脆弱性が文書化された
• 概念実証がキャプチャされた
• リスク評価が完了した
• 修復ステップが提供された
• レポートが生成された

関連ワークフロー バンドル

• development - セキュアな開発実践
• wordpress - WordPress セキュリティ
• cloud-devops - クラウドセキュリティ
• testing-qa - セキュリティテスト

制限事項

• このスキルは、タスクが上記で説明されたスコープと明確に合致する場合にのみ使用してください。
• 出力を環境固有の検証、テスト、または専門家によるレビューの代替と見なさないでください。
• 必要な入力、権限、安全上の境界、または成功基準が不足している場合は、停止して明確化を求めてください。