sast-horusec
Horusec SAST レビューを実行する
セキュリティチームには、複数言語が混在するリポジトリ全体で一貫した静的解析が必要です。このスキルは、Horusec スキャン、CI 統合、シークレット検出、レポートレビュー、誤検知の処理を支援します。
スキルZIPをダウンロード
Claudeでアップロード
設定 → 機能 → スキル → スキルをアップロードへ移動
オンにして利用開始
Agent向けリソース
AI Agent、クローラー、またはスクリプトがページ全体ではなくクリーンなコンテキストを必要とする場合は、これらのリンクを使ってください。
テストする
「sast-horusec」を使用しています。 開発者が、プルリクエストを送信する前のローカル Horusec スキャンワークフローを求めています。
期待される結果:
- 前提条件と推奨コマンドを含む短いスキャン計画。
- クリティカルおよび高重大度の検出結果から始めるトリアージチェックリスト。
- 生成されたレポートにはシークレットが含まれる可能性があるため保護するよう促す注意喚起。
「sast-horusec」を使用しています。 DevOps エンジニアが GitHub Actions に Horusec を導入したいと考えています。
期待される結果:
- 最小権限と保持される成果物を含むパイプライン概要。
- 重大度しきい値とチームのリスク許容度に基づく失敗ポリシー。
- 可能な限り安全でない Docker ソケットや pipe-to-shell のデフォルトを避けるための注意。
「sast-horusec」を使用しています。 セキュリティエンジニアが、繰り返し発生する誤検知の管理について支援を必要としています。
期待される結果:
- 無視された各検出結果を検証するためのレビュープロセス。
- リスク受容判断のための文書化モデル。
- 無視されたハッシュと除外パスを定期的にレビューする周期。
セキュリティ監査
高リスクStatic analysis flagged many command, network, environment, filesystem, and script patterns. Most findings are documentation examples or legitimate SAST workflow guidance, but the Docker socket mount, world-writable Docker socket advice, and pipe-to-shell installers are confirmed high-risk operational patterns. No evidence found of prompt injection or confirmed malicious intent, so the skill is not blocked but should not publish without revisions.
高リスクの問題 (3)
中リスクの問題 (2)
低リスクの問題 (3)
リスク要因
⚙️ 外部コマンド (6)
🌐 ネットワークアクセス (4)
📁 ファイルシステムへのアクセス (1)
🔑 環境変数 (3)
⚡ スクリプトを含む (1)
検出されたパターン
品質スコア
作れるもの
コミット前セキュリティレビュー
プルリクエストを作成する前に Horusec をローカルで実行し、重大度の高い検出結果から先にレビューします。
パイプラインセキュリティゲート
SAST、依存関係、シークレット、コンテナ、IaC のスキャンを CI に追加し、セキュリティ成果物を保持します。
セキュリティトリアージワークフロー
Horusec 出力をレビューし、真陽性と誤検知を切り分け、受容したリスクを文書化します。
これらのプロンプトを試す
Horusec ワークフローを使用してこのリポジトリをスキャンしてください。コマンド、想定される出力、最初のトリアージ手順を説明してください。
この Horusec レポートを分析してください。重大度、信頼度、悪用可能性、修正工数に基づいて検出結果に優先順位を付けてください。
Horusec スキャンのための安全な CI 計画を作成してください。権限、成果物の取り扱い、失敗しきい値、開発者へのフィードバックを含めてください。
複数リポジトリを持つ組織向けの Horusec ポリシーを設計してください。除外、誤検知ガバナンス、シークレット対応、監査証跡を扱ってください。
ベストプラクティス
- ソースコードとシークレットへのアクセスを最小権限にした隔離環境でスキャンを実行します。
- 検出結果がシークレットの場所や脆弱なパスを露出する可能性があるため、Horusec レポートを機密情報として扱います。
- すべての誤検知判断について、所有者、理由、有効期限、レビュー周期を文書化します。
回避
- リスクが正式に受容されていない限り、ホストの Docker ソケットをスキャナーコンテナにマウントしないでください。
- 本番ワークフローでリモートインストーラースクリプトを直接シェルにパイプしないでください。
- 証跡、所有者、定期レビューなしに検出結果を恒久的に抑制しないでください。