スキル sast-horusec
📦

sast-horusec

v0.1.0 コンテンツリビジョン r2 重大 ⚙️ 外部コマンド🌐 ネットワークアクセス📁 ファイルシステムへのアクセス🔑 環境変数⚡ スクリプトを含む

CI とローカルリポジトリ全体で Horusec SAST を実行する

セキュリティチームには、言語やパイプラインを横断した一貫性のある静的解析が必要です。このスキルは、Horusec スキャン、シークレットチェック、CI セットアップ、検出結果のトリアージをガイドします。

対応: Claude Codex Code(CC)
⚠️ 38 不十分

自分のエージェントでインストール

このリクエストをエージェントにコピーしてください。正規の Skill ページとマニフェストが含まれています。

エージェントリクエスト
Review the Skillstore skill "sast-horusec" from https://skillstore.io/skills/agentsecops-sast-horusec.md and its manifest at https://skillstore.io/api/skills/agentsecops-sast-horusec/manifest. Verify the artifact. Do not auto-install. Inspect the skill and report your findings, then wait for an operator or manual installation decision.

エージェントは引き続き計画を提示し、セキュリティポリシーで必要な確認を求める必要があります。

エージェントが読めるリソース

AI エージェント、クローラー、スクリプトがページ全体ではなく整理されたコンテキストを必要とする場合は、これらのリンクを使ってください。

Markdown詳細 GET /skills/agentsecops-sast-horusec.md 署名済み manifest GET /api/skills/agentsecops-sast-horusec/manifest 署名済み lockfile GET /api/skills/agentsecops-sast-horusec/lockfile

テストする

「sast-horusec」を使用しています。 SAST とシークレットを対象に Python API リポジトリをスキャンする。

期待される結果:

  • 前提条件、Horusec オプション、想定されるレポートファイルを含むスキャン計画。
  • critical、high、medium、low の検出結果ごとにグループ化されたトリアージ要約。
  • シークレットのローテーションと脆弱なコード変更のための修復チェックリスト。

「sast-horusec」を使用しています。 pull request ワークフローに Horusec を追加する。

期待される結果:

  • アーティファクト保持と重大度しきい値を含む CI ワークフローの概要。
  • actions の固定、安全でないインストーラーパターンの回避、トークン権限の制限に関するメモ。
  • pull request コメントと監査記録のための開発者向けフィードバックガイダンス。

「sast-horusec」を使用しています。 報告された SQL injection の検出結果が妥当かどうかを説明する。

期待される結果:

  • データフロー、クエリ構築、既存の制御を確認する検出結果レビュー。
  • パラメータ化クエリまたは ORM メソッドを使用した推奨修正。
  • スキャンを再実行し、結果を文書化する検証手順。

セキュリティ監査

重大
v9 • 2026/7/23 バージョン別レポートを開く

Most detections are documentation syntax, secure examples, or reference URLs and are false positives. Confirmed risks include remote installers, Docker socket exposure, unsafe permissions, token exposure, mutable images, and ineffective CI gates.

6
スキャンされたファイル
1,886
解析済み行数
5
レビュー項目
0
誤検知を無視

確認済みのセキュリティ上の懸念 (7)

重大
assets/ci-config-template.yml:240
Pipe to shell pattern
curl -s https://raw.githubusercontent.com/aquasecurity/tfsec/master/scripts/install_linux.sh | bash
The template downloads a mutable remote script and executes it without integrity verification. A compromised source can run arbitrary CI code.
重大
SKILL.md:298
Pipe to shell pattern
curl -fsSL https://raw.githubusercontent.com/ZupIT/horusec/main/deployments/scripts/install.sh | bas
The installation command pipes an unverified remote script directly into Bash. A compromised branch or account could execute arbitrary code.
重大
SKILL.md:39
Docker socket access
docker run -v /var/run/docker.sock:/var/run/docker.sock \
The command gives a mutable Horusec container direct Docker socket access. Container compromise can control sibling containers and the host.
重大
SKILL.md:213
Docker socket access
docker run -v /var/run/docker.sock:/var/run/docker.sock \
The CI example gives a mutable Horusec container direct Docker socket access. Image compromise can control the runner host.
重大
SKILL.md:256
Docker socket access
sudo chmod 666 /var/run/docker.sock
World-writable Docker socket permissions let any local process control Docker. This commonly provides effective root-level host access.
重大
SKILL.md:39-40SKILL.md:213-214
Mutable privileged container dependency
The guide runs mutable Horusec images with the host Docker socket, allowing a compromised image to control the host.
Both examples combine a latest image tag with direct host Docker socket access.
高
assets/ci-config-template.yml:34assets/ci-config-template.yml:246-256
Declared CI thresholds are not enforced
The pipeline declares critical and high failures, but the IaC stage only warns and leaves its failure command commented.
The declared failure policy directly conflicts with the warning-only IaC result handling.
機能レビュー項目 (5)

これらは、このスキルに期待される可能性のある実際のローカル機能であるため、レビューが必要ですが、確認済みの悪意ある動作としてはカウントされません。

高
assets/ci-config-template.yml:164
Git platform tokens
GITHUB_TOKEN: ${{ secrets.GITHUB_TOKEN }}
The workflow passes GITHUB_TOKEN to a mutable third-party action reference. Compromise could abuse the token's granted repository permissions.
高
SKILL.md:256
sudo privilege escalation
sudo chmod 666 /var/run/docker.sock
This command makes the Docker socket world-writable. Any local process could gain Docker control and effective root-level host access.
高
SKILL.md:257
sudo privilege escalation
# Or run with sudo (not recommended for CI/CD)
The troubleshooting guidance suggests running Horusec with sudo, expanding scanner and dependency compromise impact to root-level host access.
低
assets/ci-config-template.yml:240
Hardcoded URL
curl -s https://raw.githubusercontent.com/aquasecurity/tfsec/master/scripts/install_linux.sh | bash
This URL supplies a remote script that is executed immediately without integrity verification. Source compromise could run arbitrary CI code.
低
SKILL.md:298
Hardcoded URL
curl -fsSL https://raw.githubusercontent.com/ZupIT/horusec/main/deployments/scripts/install.sh | bas
This URL supplies a remote installer that is executed immediately without integrity verification. Source compromise could run arbitrary local code.

リスク要因

⚙️ 外部コマンド (50)
assets/ci-config-template.yml:298 assets/ci-config-template.yml:301 assets/ci-config-template.yml:304 assets/ci-config-template.yml:307 assets/ci-config-template.yml:310 assets/ci-config-template.yml:134 assets/ci-config-template.yml:250 assets/ci-config-template.yml:291 SKILL.md:37-44 SKILL.md:44-54 SKILL.md:54-56 SKILL.md:56-80 SKILL.md:80-82 SKILL.md:82-85 SKILL.md:85 SKILL.md:94-96 SKILL.md:96-98 SKILL.md:98-99 SKILL.md:99-104 SKILL.md:104-111 SKILL.md:111-113 SKILL.md:113-144 SKILL.md:144-150 SKILL.md:150-151 SKILL.md:151-152 SKILL.md:152-154 SKILL.md:154-155 SKILL.md:155-157 SKILL.md:157-165 SKILL.md:165-169 SKILL.md:169-177 SKILL.md:177-182 SKILL.md:182-189 SKILL.md:189-190 SKILL.md:190-194 SKILL.md:194-210 SKILL.md:210-217 SKILL.md:217-220 SKILL.md:220-228 SKILL.md:228-231 SKILL.md:231-237 SKILL.md:237-255 SKILL.md:255-258 SKILL.md:258-263 SKILL.md:263-267 SKILL.md:267-272 SKILL.md:272-277 SKILL.md:277-282 SKILL.md:282-285 SKILL.md:285-293
🌐 ネットワークアクセス (22)
assets/ci-config-template.yml:240 assets/rule-template.yaml:43 assets/rule-template.yaml:44 assets/rule-template.yaml:45 assets/rule-template.yaml:73 assets/rule-template.yaml:118 assets/rule-template.yaml:119 assets/rule-template.yaml:151 assets/rule-template.yaml:191 assets/rule-template.yaml:192 assets/rule-template.yaml:193 assets/rule-template.yaml:217 assets/rule-template.yaml:260 assets/rule-template.yaml:261 assets/rule-template.yaml:288 SKILL.md:19 SKILL.md:20 SKILL.md:298 SKILL.md:353 SKILL.md:354 SKILL.md:355 SKILL.md:356
📁 ファイルシステムへのアクセス (2)
assets/ci-config-template.yml:323 assets/ci-config-template.yml:323
🔑 環境変数 (23)
assets/ci-config-template.yml:164 assets/rule-template.yaml:148 assets/rule-template.yaml:148 assets/rule-template.yaml:147 assets/rule-template.yaml:162 assets/rule-template.yaml:132 assets/rule-template.yaml:147 assets/rule-template.yaml:148 assets/rule-template.yaml:156 assets/rule-template.yaml:157 assets/rule-template.yaml:162 assets/rule-template.yaml:163 assets/rule-template.yaml:164 assets/rule-template.yaml:165 references/EXAMPLE.md:423 references/EXAMPLE.md:423 references/EXAMPLE.md:424 references/EXAMPLE.md:425 references/EXAMPLE.md:427 references/EXAMPLE.md:430 references/EXAMPLE.md:432 references/EXAMPLE.md:437 references/EXAMPLE.md:444
⚡ スクリプトを含む (2)
references/EXAMPLE.md:138 references/EXAMPLE.md:137

検出されたパターン

Pipe to shell pattern×2Docker socket access×3
監査者: codex 監査履歴を表示 →
このレポートを共有・引用

バージョン付き評価レポート、中立的なバッジ、埋め込みカード、引用を共有できます。Skillstore は証拠を報告しますが、この Skill が安全かどうかは判断しません。

バージョン別レポートを開く
セキュリティ評価

レポートリンクをコピー

https://skillstore.io/skills/agentsecops-sast-horusec/audits/9?utm_source=security_passport&utm_medium=share&utm_campaign=versioned_report

Markdownバッジ

[![Skillstore security assessment](https://skillstore.io/badges/skills/agentsecops-sast-horusec/security.svg)](https://skillstore.io/skills/agentsecops-sast-horusec?utm_source=security_passport_badge)

HTMLバッジ

<a href="https://skillstore.io/skills/agentsecops-sast-horusec?utm_source=security_passport_badge"><img src="https://skillstore.io/badges/skills/agentsecops-sast-horusec/security.svg" alt="Skillstore security assessment" loading="lazy"></a>

埋め込みカード

<iframe src="https://skillstore.io/embed/skills/agentsecops-sast-horusec.html" title="Skillstore Security Assessment" sandbox="allow-popups allow-popups-to-escape-sandbox" loading="lazy" referrerpolicy="no-referrer" width="420" height="180"></iframe>
学術引用 (APA · BibTeX · CFF)

APA形式の引用

AgentSecOps. (2026). sast-horusec security audit report (audit version 9) [Author version 0.1.0]. Skillstore. https://skillstore.io/skills/agentsecops-sast-horusec/audits/9

BibTeX形式の引用

@techreport{agentsecops-agentsecops-sast-horusec-2026, author = {AgentSecOps}, title = {sast-horusec security audit report (audit version 9)}, institution = {Skillstore}, year = {2026}, number = {9}, url = {https://skillstore.io/skills/agentsecops-sast-horusec/audits/9}, note = {Author version 0.1.0} }

CITATION.cff

cff-version: 1.2.0 message: "If you use this Skill, cite its author and this versioned security audit report." title: "sast-horusec security audit report (audit version 9)" version: "0.1.0" type: report authors: - name: "AgentSecOps" date-released: "2026-07-23" url: "https://skillstore.io/skills/agentsecops-sast-horusec/audits/9" identifiers: - type: other value: "skillstore:agentsecops-sast-horusec:audit:9" description: "Skillstore immutable audit report identifier"

Skillstore スコア

このスコアの理由 証拠の信頼度: 中
55
アーキテクチャ
100
保守性
87
コンテンツ
72
コミュニティ
100
仕様準拠

作成できるもの

マージ前にコードを確認する

ローカルで Horusec スキャンを実行し、重大な検出結果を確認して、pull request を開く前に修正を確認します。

SAST レポートを標準化する

セキュリティレビューのワークフロー向けに、一貫性のあるスキャン出力、重大度しきい値、修復メモを作成します。

CI セキュリティゲートを追加する

パイプラインテンプレートを使用して、デリバリー中に SAST、依存関係、シークレット、コンテナ、IaC のチェックを実行します。

これらのプロンプトを試す

基本スキャンを実行する 
このスキルを使用して、現在のリポジトリに対する Horusec スキャンを計画してください。セットアップ確認、スキャンコマンド、重大度の高い結果の読み方を含めてください。
シークレット漏えいをレビューする 
Horusec を使用して、このリポジトリに公開されたシークレットがないか確認する手順をガイドしてください。検証、ローテーション、修復内容の文書化の手順を含めてください。
CI スキャンを設計する 
JSON 出力で Horusec を実行し、アーティファクトを保存し、重大な検出結果がある場合にビルドを失敗させる CI 計画を作成してください。強化に関する推奨事項も含めてください。
複雑な検出結果をトリアージする 
monorepo 全体の Horusec 検出結果のトリアージを手伝ってください。結果を重大度別にグループ化し、CWE または OWASP に対応付け、修復の優先順位を提案してください。

ベストプラクティス

  • 本番環境でサンプルを使用する前に、スキャナーイメージ、actions、インストーラーのチェックサムを固定します。
  • スキャンレポートには機密性の高いコードコンテキストが含まれる可能性があるため、制限付きアーティファクトとして保存します。
  • 受け入れ済みの false positive を定期的に見直し、ビジネス上の理由を文書化します。

回避

  • 共有 runner では、ホストの Docker ソケットをスキャナーコンテナにマウントしないでください。
  • リモートインストールスクリプトを直接シェルにパイプしないでください。
  • 人によるレビューなしに、スキャナー出力をセキュリティの証明として扱わないでください。

よくある質問

このスキルは何に役立ちますか？
Horusec SAST スキャン、シークレットチェック、CI 統合、セキュリティ検出結果のトリアージを計画および運用するのに役立ちます。
このスキルは Horusec を自動的に実行しますか？
いいえ。コマンド、ワークフロー、レビューガイダンスを提供します。スキャナーは自身の環境で実行します。
どのツールが必要ですか？
通常の使用には、Horusec、Git、および Docker またはローカル言語向けセキュリティツールが必要です。
git 履歴内のシークレットを見つけられますか？
はい。ガイダンスには Horusec の git 履歴分析と、認証情報ローテーションのためのフォローアップ手順が含まれます。
CI テンプレートをそのままコピーしても安全ですか？
いいえ。本番環境で使用する前に、actions、バージョン、チェックサムを固定し、安全でない Docker ソケットパターンを削除してください。
false positive はどのように扱うべきですか？
各検出結果を検証し、リスク受容を文書化し、スコープを限定した ignore ルールを追加し、受け入れ済みの検出結果を定期的に見直します。

開発者情報

作成者

AgentSecOps

ライセンス

MIT

作者バージョン

v0.1.0

Skillstore リビジョン

r2

リポジトリ

https://github.com/AgentSecOps/SecOpsAgentKit/tree/main/skills/secsdlc/sast-horusec

参照

9e952417e76879bc9d853e1b8b2cd6d6d8d4a1c2

メンテナンスの新しさ

2026/7/26

利用状況

5 ダウンロード · 354 閲覧

ファイル構成

📁 assets/

📄 .gitkeep

📄 ci-config-template.yml

📄 rule-template.yaml

📁 references/

📄 EXAMPLE.md

📄 WORKFLOW_CHECKLIST.md

📄 SKILL.md

AgentSecOps のその他のスキル

すべて表示

関連スキル

すべて表示
📦

vulnerability-scanner

75

OWASP ガイダンスに基づく脆弱性リスクのレビュー

作成者 sickn33

セキュリティレビューでは、攻撃経路やビジネスリスクなしに検出事項だけが列挙されると、文脈が見落とされがちです。このスキルは、OWASP ガイダンス、ローカルチェック、優先順位付けプロンプトを組み合わせ、実行可能なセキュリティ作業を支援します。

セキュリティ＆コンプライアンス 表示
📦

security-sentinel

79

セキュリティリスクを検出するコード監査

作成者 Barnhardt-Enterprises-Inc

セキュリティに関わるコードは、認証、入力処理、シークレットに潜む欠陥を抱えたまま出荷されやすいものです。このスキルは、Claude、Codex、Claude Code に構造化されたセキュリティリファレンスとスキャナーのガイダンスを提供し、より安全なレビューを支援します。

セキュリティ＆コンプライアンス 表示