脆弱性スキャニング

目次

• 概要
• 使用時機
• クイックスタート
• リファレンスガイド
• ベストプラクティス

概要

自動スキャンツールと手動セキュリティアセスメントを使用して、アプリケーション、依存関係、インフラストラクチャのセキュリティ脆弱性を体系的に特定します。

使用時機

• デプロイ前のセキュリティチェック
• 継続的なセキュリティ監視
• コンプライアンス監査 (PCI-DSS、SOC 2)
• 依存関係の脆弱性検出
• コンテナセキュリティスキャニング
• インフラストラクチャセキュリティアセスメント

クイックスタート

最小限の動作例:

// scanner.js - Comprehensive vulnerability scanning
const { exec } = require("child_process");
const util = require("util");
const fs = require("fs").promises;

const execPromise = util.promisify(exec);

class VulnerabilityScanner {
  constructor() {
    this.results = {
      dependencies: [],
      code: [],
      docker: [],
      secrets: [],
    };
  }

  async scanDependencies() {
    console.log("Scanning dependencies with npm audit...");

    try {
      const { stdout } = await execPromise("npm audit --json");
      const auditResults = JSON.parse(stdout);

      for (const [name, advisory] of Object.entries(
// ... (see reference guides for full implementation)

リファレンスガイド

references/ ディレクトリにある詳細な実装:

ベストプラクティス

✅ すべき事

• CI/CD でスキャンを自動化する
• 定期的に依存関係をスキャンする
• 複数のスキャニングツールを使用する
• 重要度の閾値を設定する
• 脆弱性の傾向を追跡する
• コンテナとイメージをスキャンする
• CVE データベースを監視する
• 誤検知を文書化する

❌ してはいけない事

• 脆弱性スキャニングをスキップする
• 低い重要度の問題を無視する
• 単一のスキャニングツールだけを信頼する
• セキュリティゲートを回避する
• シークレットをリポジトリにコミットする