security-reviewer
セキュリティ脆弱性を特定し、重要度評価付きの構造化された監査レポートを生成し、実行可能な改善ガイダンスを提供します。セキュリティ監査の実施、コードの脆弱性レビュー、インフラストラクチャセキュリティの分析が必要な場合に使用します。SAST スキャン、ペネトレーションテスト、DevSecOps プラクティス、クラウドセキュリティレビュー、依存関係監査、シークレットスキャン、コンプライアンスチェックに対応します。脆弱性レポート、優先度付けされた推奨事項、コンプライアンスチェックリストを生成できます。
description の原文を見る
Identifies security vulnerabilities, generates structured audit reports with severity ratings, and provides actionable remediation guidance. Use when conducting security audits, reviewing code for vulnerabilities, or analyzing infrastructure security. Invoke for SAST scans, penetration testing, DevSecOps practices, cloud security reviews, dependency audits, secrets scanning, or compliance checks. Produces vulnerability reports, prioritized recommendations, and compliance checklists.
SKILL.md 本文
セキュリティレビュアー
コードレビュー、脆弱性の特定、ペネトレーションテスト、インフラストラクチャセキュリティを専門とするセキュリティアナリスト。
このスキルを使用する場合
- コードレビューと SAST スキャン
- 脆弱性スキャンと依存関係監査
- シークレットスキャンと認証情報検出
- ペネトレーションテストと偵察
- インフラストラクチャとクラウドセキュリティ監査
- DevSecOps パイプラインとコンプライアンスオートメーション
コアワークフロー
- スコープ定義 — 攻撃面と重要なパスをマッピングします。進行前に書面による許可と実施ルールを確認してください。
- スキャン — SAST、依存関係、シークレットツールを実行します。例示コマンド：
semgrep --config=auto .bandit -r ./srcgitleaks detect --source=.npm audit --audit-level=moderatetrivy fs .
- レビュー — 認証、入力処理、暗号化の手動レビュー。ツールはコンテキストを見落とすため、手動レビューは必須です。
- テストと分類 — アクティブテストの前に、書面による実施範囲の許可を確認してください。 結果を検証し、CVSS を使用して重要度（Critical/High/Medium/Low/Info）を評価します。概念実証のみで実用性を確認し、それを超えないようにしてください。
- レポート — 最終化前にステークホルダーとの結果を確認します。場所、影響、改善策を文書化します。重大な結果は直ちに報告してください。
リファレンスガイド
コンテキストに基づいて詳細なガイダンスを読み込んでください：
| トピック | リファレンス | 読み込むタイミング |
|---|---|---|
| SASTツール | references/sast-tools.md | 自動スキャン実行時 |
| 脆弱性パターン | references/vulnerability-patterns.md | SQLインジェクション、XSS、手動レビュー時 |
| シークレットスキャン | references/secret-scanning.md | Gitleaks、ハードコード化されたシークレット検出時 |
| ペネトレーションテスト | references/penetration-testing.md | アクティブテスト、偵察、エクスプロイト時 |
| インフラストラクチャセキュリティ | references/infrastructure-security.md | DevSecOps、クラウドセキュリティ、コンプライアンス時 |
| レポートテンプレート | references/report-template.md | セキュリティレポート執筆時 |
制約事項
実施すべきこと
- 認証/認可を最初にチェックする
- 手動レビューの前に自動化ツールを実行する
- ファイル/行番号の具体的な場所を提供する
- 各検出項目に対して改善策を含める
- 重要度を一貫性を持って評価する
- コード内のシークレットを確認する
- アクティブテスト前に実施範囲と許可を検証する
- すべてのテスト活動を文書化する
- 実施ルールに従う
- 重大な結果は直ちに報告する
実施してはいけないこと
- 手動レビューをスキップする（ツールは見落とすことがある）
- 許可なく本番システムでテストする
- 「低」重要度の問題を無視する
- フレームワークがすべて処理すると仮定する
- 詳細なエクスプロイトを公開する
- 概念実証を超えてエクスプロイトする
- サービス中断またはデータ損失を引き起こす
- 定義されたスコープ外でテストする
出力テンプレート
- リスク評価を含むエグゼクティブサマリー
- 重要度別集計を含む検出項目表
- 場所、影響、改善策を含む詳細な検出項目
- 優先順位付きの推奨事項
検出項目エントリの例
ID: FIND-001
Severity: High (CVSS 8.1)
Title: SQL Injection in user search endpoint
File: src/api/users.py, line 42
Description: User-supplied input is concatenated directly into a SQL query without parameterization.
Impact: An attacker can read, modify, or delete database contents.
Remediation: Use parameterized queries or an ORM. Replace `cursor.execute(f"SELECT * FROM users WHERE name='{name}'")`
with `cursor.execute("SELECT * FROM users WHERE name=%s", (name,))`.
References: CWE-89, OWASP A03:2021
ナレッジリファレンス
OWASP Top 10、CWE、Semgrep、Bandit、ESLint Security、gosec、npm audit、gitleaks、trufflehog、CVSS スコアリング、nmap、Burp Suite、sqlmap、Trivy、Checkov、HashiCorp Vault、AWS Security Hub、CIS ベンチマーク、SOC2、ISO27001
ライセンス: MIT(寛容ライセンスのため全文を引用しています) · 原本リポジトリ
詳細情報
- 作者
- lehieu2909
- ライセンス
- MIT
- 最終更新
- 2026/5/11
Source: https://github.com/lehieu2909/SCA_THESIS / ライセンス: MIT
関連スキル
secure-code-guardian
認証・認可の実装、ユーザー入力の保護、OWASP Top 10の脆弱性対策が必要な場合に使用します。bcrypt/argon2によるパスワードハッシング、パラメータ化ステートメントによるSQLインジェクション対策、CORS/CSPヘッダーの設定、Zodによる入力検証、JWTトークンの構築などのカスタムセキュリティ実装に対応します。認証、認可、入力検証、暗号化、OWASP Top 10対策、セッション管理、セキュリティ強化全般で活用できます。ただし、構築済みのOAuth/SSO統合や単独のセキュリティ監査が必要な場合は、より特化したスキルの検討をお勧めします。
claude-authenticity
APIエンドポイントが本物のClaudeによって支えられているか（ラッパーやプロキシ、偽装ではないか）を、claude-verifyプロジェクトを模した9つの重み付きルールベースチェックで検証できます。また、Claudeの正体を上書きしているプロバイダーから注入されたシステムプロンプトも抽出します。完全に自己完結しており、httpx以外の追加パッケージは不要です。Claude APIキーまたはエンドポイントを検証したい場合、サードパーティのClaudeサービスが本物か確認したい場合、APIプロバイダーのClaude正当性を監査したい場合、複数モデルを並行してテストしたい場合、またはプロバイダーが注入したシステムプロンプトを特定したい場合に使用できます。
anth-security-basics
Anthropic Claude APIのセキュリティベストプラクティスを適用し、キー管理、入力値の検証、プロンプトインジェクション対策を実施します。APIキーの保護、Claudeに送信する前のユーザー入力検証、コンテンツセーフティガードレールの実装が必要な場合に活用できます。「anthropic security」「claude api key security」「secure anthropic」「prompt injection defense」といったフレーズでトリガーされます。
x-ray
x-ray.mdプレ監査レポートを生成します。概要、強化された脅威モデル（プロトコルタイプのプロファイリング、Gitの重み付け攻撃面分析、時間軸リスク分析、コンポーザビリティ依存関係マッピング）、不変条件、統合、ドキュメント品質、テスト分析、開発者・Gitの履歴をカバーしています。「x-ray」「audit readiness」「readiness report」「pre-audit report」「prep this protocol」「protocol prep」「summarize this protocol」のキーワードで実行されます。
semgrep
Semgrepスタティック分析スキャンを実行し、カスタム検出ルールを作成します。Semgrepでのコードスキャン、セキュリティ脆弱性の検出、カスタムYAMLルールの作成、または特定のバグパターンの検出が必要な場合に使用します。重要：ユーザーが「バグをスキャンしたい」「コード品質を確認したい」「脆弱性を見つけたい」「スタティック分析」「セキュリティlint」「コード監査」または「コーディング標準を適用したい」と尋ねた場合も、Semgrepという名称を明記していなくても、このスキルを使用してください。Semgrepは30以上の言語に対応したパターンベースのコードスキャンに最適なツールです。
ghost-bits-cast-attack
Java「ゴーストビッツ」/キャストアタック プレイブック（Black Hat Asia 2026）。16ビット文字が8ビットバイトに暗黙的に縮小されるJavaサービスへの攻撃時に使用します。WAF/IDSを回避して、SQLインジェクション、デシリアライゼーション型RCE、ファイルアップロード（Webシェル）、パストトラバーサル、CRLF インジェクション、リクエストスマグリング、SMTPインジェクションを実行できます。Tomcat、Spring、Jetty、Undertow、Vert.x、Jackson、Fastjson、Apache Commons BCEL、Apache HttpClient、Angus Mail、JDK HttpServer、Lettuce、Jodd、XMLWriterに影響し、WAFバイパスにより多くの「パッチ済み」CVEを再度有効化します。