スキル dast-zap

📦

dast-zap

Name: dast-zap
Author: AgentSecOps

v0.1.0 コンテンツリビジョン r1 高リスク ⚙️ 外部コマンド🌐 ネットワークアクセス📁 ファイルシステムへのアクセス🔑 環境変数

OWASP ZAPでWebアプリをスキャン

ランタイムのWebセキュリティテストをチーム全体で標準化するのは困難です。このスキルは、承認済みスキャン、APIテスト、認証、CI/CDレポート作成のためのOWASP ZAPワークフローを提供します。

対応: Claude Codex Code(CC)

⚠️ 38 不十分

Maintain this Skill? Claim it ⚠️ 38 不十分

インストール前に停止して確認を求めてください。

計画を確認し、ファイルを変更する前にユーザーの明示的な同意を得てください。

自分のエージェントでインストール

このリクエストをエージェントにコピーしてください。正規の Skill ページとマニフェストが含まれています。

エージェントリクエスト

Review the Skillstore skill "dast-zap" from https://skillstore.io/skills/agentsecops-dast-zap.md and its manifest at https://skillstore.io/api/skills/agentsecops-dast-zap/manifest. Verify the artifact. Stop and obtain explicit user consent before installing or changing files.

エージェントは引き続き計画を提示し、セキュリティポリシーで必要な確認を求める必要があります。

エージェントが読めるリソース

AI エージェント、クローラー、スクリプトがページ全体ではなく整理されたコンテキストを必要とする場合は、これらのリンクを使ってください。

Markdown詳細 GET /skills/agentsecops-dast-zap.md 署名済み manifest GET /api/skills/agentsecops-dast-zap/manifest 署名済み lockfile GET /api/skills/agentsecops-dast-zap/lockfile

テストする

「dast-zap」を使用しています。ステージングWebアプリ向けのベースラインスキャンを計画してください。

期待される結果:

承認チェック、対象URL、パッシブスキャン設定、レポート形式、合否しきい値を含む、スコープを定めたスキャン計画。

「dast-zap」を使用しています。チケットを作成する前にZAPの検出結果をレビューしてください。

期待される結果:

リスクと影響を受けるルート別に優先順位付けされた検出結果。
各高リスクアラートの手動検証手順。
文書化された誤検知に対する推奨抑制ルール。

「dast-zap」を使用しています。認証付きAPIスキャンをCIに追加してください。

期待される結果:

テスト認証情報を使用し、レポートを保存し、高リスク件数をチェックし、本番シークレットを避けるパイプライン設計。

セキュリティ監査

高リスク

v9 • 2026/7/23 バージョン別レポートを開く

Most static detections are documentation or visible templates for authorized OWASP ZAP testing and were dismissed as false positives. Confirmed issues include privileged package installation and an API-key-in-URL example. Semantic review also found reusable fixed credentials, fail-open GitLab gates, and mutable CI dependencies; no prompt injection or malicious intent was found.

スキャンされたファイル

2,913

解析済み行数

レビュー項目

誤検知を無視

確認済みのセキュリティ上の懸念 (3)

高

assets/zap_context.xml:120-122 assets/zap_context.xml:143-145 references/authentication_guide.md:77-80

Hardcoded Sample Credentials in Reusable Templates

Reusable authentication examples contain fixed passwords such as TestPassword123!, AdminPassword123!, and SecureP@ssw0rd. Users may copy these values into real scan contexts and expose accessible test accounts.

The cited files contain literal password values in copyable context templates and documentation. The example domains reduce immediate exposure but do not remove insecure-default risk.

高

assets/gitlab_ci.yml:22-30 assets/gitlab_ci.yml:55-65 assets/gitlab_ci.yml:97-108 assets/gitlab_ci.yml:159-184

Fail-Open GitLab Security Gates

The GitLab scan jobs suppress scanner failures with || true. The security gate also succeeds when the baseline report is absent.

The template explicitly suppresses three scanner exit codes and treats a missing report as a successful skip. This directly permits failed scans to bypass the gate.

高

assets/github_action.yml:16-19 assets/github_action.yml:28-34 assets/gitlab_ci.yml:9-18

Mutable CI Dependencies

The CI templates execute containers and actions referenced by mutable tags, including latest. A changed upstream tag could execute with repository permissions or CI secrets.

The cited workflows use version tags and latest container tags instead of immutable commit or image digests. CI executes those dependencies with workflow privileges.

機能レビュー項目 (2)

これらは、このスキルに期待される可能性のある実際のローカル機能であるため、レビューが必要ですが、確認済みの悪意ある動作としてはカウントされません。

高

assets/github_action.yml:177

sudo privilege escalation

sudo apt-get update && sudo apt-get install -y jq

The GitHub Actions template installs jq with sudo at runtime. This is a real privileged CI step and increases supply-chain and runner-hardening risk if copied unchanged.

高

references/api_testing_guide.md:75

Generic API/secret keys

--target https://api.example.com?api_key=your-api-key \

The guide demonstrates placing an API key in a query string. Even with placeholder text, this pattern can leak credentials through logs, browser history, and proxies.

リスク要因

⚙️ 外部コマンド (50)

assets/github_action.yml:180 assets/github_action.yml:181 assets/github_action.yml:177 assets/gitlab_ci.yml:23 assets/gitlab_ci.yml:56 assets/gitlab_ci.yml:57 assets/gitlab_ci.yml:69 assets/gitlab_ci.yml:99 assets/gitlab_ci.yml:100 assets/gitlab_ci.yml:160 assets/gitlab_ci.yml:161 assets/gitlab_ci.yml:202 references/api_testing_guide.md:25 references/api_testing_guide.md:38 references/api_testing_guide.md:50-53 references/api_testing_guide.md:132 references/api_testing_guide.md:210 references/api_testing_guide.md:353 references/authentication_guide.md:97 references/authentication_guide.md:113-116 references/authentication_guide.md:176-182 references/authentication_guide.md:196-201 references/authentication_guide.md:234 references/authentication_guide.md:304 references/authentication_guide.md:414-417 references/false_positive_handling.md:249 SKILL.md:37-39 SKILL.md:39-45 SKILL.md:45-47 SKILL.md:47-53 SKILL.md:53-59 SKILL.md:59-67 SKILL.md:67-73 SKILL.md:73-84 SKILL.md:84-90 SKILL.md:90-103 SKILL.md:103-110 SKILL.md:110-127 SKILL.md:127-141 SKILL.md:141-143 SKILL.md:143-149 SKILL.md:149-158 SKILL.md:158-167 SKILL.md:167-173 SKILL.md:173-180 SKILL.md:180-188 SKILL.md:188-196 SKILL.md:196-215 SKILL.md:215-221 SKILL.md:221-225

🌐 ネットワークアクセス (50)

📁 ファイルシステムへのアクセス (4)

assets/gitlab_ci.yml:57 assets/gitlab_ci.yml:68 references/false_positive_handling.md:170 references/false_positive_handling.md:251

🔑 環境変数 (2)

assets/zap_automation.yaml:46 references/api_testing_guide.md:75

監査者: codex 監査履歴を表示 →

このレポートを共有・引用

バージョン付き評価レポート、中立的なバッジ、埋め込みカード、引用を共有できます。Skillstore は証拠を報告しますが、この Skill が安全かどうかは判断しません。

バージョン別レポートを開く

レポートリンクをコピー

https://skillstore.io/skills/agentsecops-dast-zap/audits/9?utm_source=security_passport&utm_medium=share&utm_campaign=versioned_report

Markdownバッジ

[![Skillstore security assessment](https://skillstore.io/badges/skills/agentsecops-dast-zap/security.svg)](https://skillstore.io/skills/agentsecops-dast-zap?utm_source=security_passport_badge)

HTMLバッジ

<a href="https://skillstore.io/skills/agentsecops-dast-zap?utm_source=security_passport_badge"><img src="https://skillstore.io/badges/skills/agentsecops-dast-zap/security.svg" alt="Skillstore security assessment" loading="lazy"></a>

埋め込みカード

<iframe src="https://skillstore.io/embed/skills/agentsecops-dast-zap.html" title="Skillstore Security Assessment" sandbox="allow-popups allow-popups-to-escape-sandbox" loading="lazy" referrerpolicy="no-referrer" width="420" height="180"></iframe>

学術引用 (APA · BibTeX · CFF)

APA形式の引用

AgentSecOps. (2026). dast-zap security audit report (audit version 9) [Author version 0.1.0]. Skillstore. https://skillstore.io/skills/agentsecops-dast-zap/audits/9

BibTeX形式の引用

@techreport{agentsecops-agentsecops-dast-zap-2026,
  author = {AgentSecOps},
  title = {dast-zap security audit report (audit version 9)},
  institution = {Skillstore},
  year = {2026},
  number = {9},
  url = {https://skillstore.io/skills/agentsecops-dast-zap/audits/9},
  note = {Author version 0.1.0}
}

CITATION.cff

cff-version: 1.2.0
message: "If you use this Skill, cite its author and this versioned security audit report."
title: "dast-zap security audit report (audit version 9)"
version: "0.1.0"
type: report
authors:
  - name: "AgentSecOps"
date-released: "2026-07-23"
url: "https://skillstore.io/skills/agentsecops-dast-zap/audits/9"
identifiers:
  - type: other
    value: "skillstore:agentsecops-dast-zap:audit:9"
    description: "Skillstore immutable audit report identifier"

Skillstore スコア

このスコアの理由証拠の信頼度: 中

アーキテクチャ

100

保守性

コンテンツ

コミュニティ

仕様準拠

作成できるもの

Pull RequestにDASTを追加する

コードがステージングに到達する前に、ベースラインZAPチェックを実行し、レポートを公開します。

認証済みアプリケーション領域をテストする

テストユーザー向けに、ログインコンテキスト、セッションチェック、保護されたページのスキャンを設定します。

APIセキュリティカバレッジを評価する

ロールを考慮したトークンを使用して、OpenAPI、GraphQL、SOAP、およびバージョン付きAPIエンドポイントをスキャンします。

これらのプロンプトを試す

ベースラインスキャンを計画する

ステージングURL向けに安全なOWASP ZAPベースラインスキャン計画を作成してください。前提条件、スコープ制限、レポート出力を含めてください。

API DASTを設定する

OpenAPI仕様を使用して、承認済みAPIをスキャンする方法を手伝ってください。認証ヘッダー、レポート形式、失敗しきい値を含めてください。

CIセキュリティゲートを構築する

ステージング向けにGitHub ActionsまたはGitLab CIのZAPセキュリティゲートを設計してください。高リスクの検出結果で失敗させ、スキャンレポートをアーカイブしてください。

認証付きアクティブスキャンを調整する

テストアカウント向けに認証付きZAPアクティブスキャンワークフローを作成してください。再認証、除外、レート制限、手動検証手順を含めてください。

ベストプラクティス

アクティブスキャンの前に、書面による承認、対象の許可リスト、メンテナンス時間帯を使用します。
本番認証情報をスキャンファイルに含めず、保護されたCI変数を通じてシークレットを渡します。
インシデントを作成したりリリースをブロックしたりする前に、高リスクのZAPアラートを手動で検証します。

回避

明示的な承認なしに、本番環境または第三者のシステムに対してアクティブスキャンを実行すること。
例示されたパスワード、APIキー、対象URLを実環境にコピーすること。
文書化された証拠とセキュリティレビューなしに、高リスクの検出結果を抑制すること。

よくある質問

このスキルはOWASP ZAPを単独で実行しますか？

ワークフロー、コマンド、テンプレートを提供します。ユーザーまたはエージェントは、承認済み環境でZAPを実行する必要があります。

本番システムに対して使用できますか？

アプリケーション所有者からの書面による承認、計画された実行タイミング、レート制限、ロールバック支援がある場合に限ります。

認証付きスキャンをサポートしていますか？

はい。フォームログイン、bearer token、OAuthフロー、セッション検証、再認証パターンを対象としています。

APIをスキャンできますか？

はい。REST、OpenAPI、GraphQL、SOAP、WebSocket、およびバージョン付きAPIテストのガイダンスを含みます。

シークレットはどのように扱うべきですか？

環境変数またはCIのシークレットストアを使用してください。コンテキストファイルやコマンド履歴に認証情報をハードコードしないでください。

ZAPの検出結果は常に本当の脆弱性ですか？

いいえ。DASTの検出結果は、修復判断の前に手動検証、誤検知の処理、ビジネスコンテキストが必要です。

開発者情報

作成者

AgentSecOps

ライセンス

MIT

作者バージョン

v0.1.0

Skillstore リビジョン

リポジトリ

https://github.com/AgentSecOps/SecOpsAgentKit/tree/main/skills/appsec/dast-zap

参照

9e952417e76879bc9d853e1b8b2cd6d6d8d4a1c2

メンテナンスの新しさ

2026/7/26

利用状況

10 ダウンロード · 219 閲覧

ファイル構成

📁 assets/

📄 .gitkeep

📄 github_action.yml

📄 gitlab_ci.yml

📄 zap_automation.yaml

📄 zap_context.xml

📁 references/

📄 api_testing_guide.md

📄 authentication_guide.md

📄 EXAMPLE.md

📄 false_positive_handling.md

📄 owasp_mapping.md

📄 SKILL.md