sca-blackduck
Black Duckで依存関係を監査
オープンソースの依存関係は、脆弱性、ライセンス上の義務、サプライチェーンリスクをもたらす可能性があります。このスキルは、Claude、Codex、Claude CodeがBlack Duck中心のSCAワークフローを実行し、実践的な修復ガイダンスを提供するのに役立ちます。
スキルZIPをダウンロード
Claudeでアップロード
設定 → 機能 → スキル → スキルをアップロードへ移動
オンにして利用開始
Agent向けリソース
AI Agent、クローラー、またはスクリプトがページ全体ではなくクリーンなコンテキストを必要とする場合は、これらのリンクを使ってください。
テストする
「sca-blackduck」を使用しています。 複数の重大な依存関係の検出結果を含むBlack Duckスキャンをレビューする。
期待される結果:
影響を受けるコンポーネント、深刻度、ビジネス影響、修正済みバージョン、担当者、目標日を含む、優先順位付けされた修復レポート。
「sca-blackduck」を使用しています。 プルリクエストワークフローにBlack Duckチェックを追加する。
期待される結果:
認証情報、ポリシーゲート、スキャン成果物、SBOM出力、プルリクエストへのフィードバックを網羅したCI統合計画。
「sca-blackduck」を使用しています。 本番環境の依存関係に対するライセンスコンプライアンスを評価する。
期待される結果:
高リスクコンポーネント、推奨される代替、ポリシー例外、法務レビュー項目を含むライセンスリスクの要約。
セキュリティ監査
中リスクStatic analysis found many severe-looking patterns, but most are documentation, policy terminology, or intentionally vulnerable examples for SCA education. The real concern is copyable CI guidance that uses network shell installers and handles Black Duck or GitHub secrets. No prompt injection attempt or confirmed malicious intent was found, so publication is acceptable with a security warning.
中リスクの問題 (3)
低リスクの問題 (3)
リスク要因
📁 ファイルシステムへのアクセス (4)
⚙️ 外部コマンド (7)
🌐 ネットワークアクセス (4)
🔑 環境変数 (5)
検出されたパターン
品質スコア
作れるもの
リリース前に依存関係リスクをレビュー
プロジェクトをスキャンし、重要なCVEをトリアージして、リリース承認に向けた修復優先度を準備します。
CI/CDにSCAゲートを追加
同梱のCIテンプレートを調整し、高リスクな依存関係ポリシー違反がある場合にビルドを失敗させます。
ライセンスとSBOMの準備状況を評価
コンポーネントライセンスをレビューし、ポリシー例外を特定して、監査用のSBOM出力を生成します。
これらのプロンプトを試す
Black Duck SCAワークフローを使用して、このリポジトリのベースライン依存関係スキャンを計画してください。マニフェストと必要な認証情報を特定してください。
これらのBlack Duck検出結果を分析してください。criticalおよびhighのCVEを優先順位付けし、CWEまたはOWASPカテゴリに対応付けて、修正を推奨してください。
このプロジェクト向けのBlack Duck CI/CD統合計画を作成してください。シークレット管理、ポリシーしきい値、成果物、失敗時の動作を含めてください。
Black Duckの結果、ライセンスポリシー、SBOM出力、依存関係の健全性シグナルを使用して、サプライチェーンリスク評価を設計してください。
ベストプラクティス
- Black Duckトークンは、承認済みのCIシークレットまたはシークレットマネージャーに保存します。
- 本番パイプラインで使用する前に、ダウンロードしたスキャナーツールを固定し、検証します。
- 受容したリスクについて、担当者、有効期限、代替コントロールを文書化します。
回避
- APIトークンをプロンプト、ログ、リポジトリファイルに貼り付けないでください。
- ダウンロードされたスクリプトのソースをレビューせずに、ネットワークインストーラーコマンドを実行しないでください。
- 追跡可能なビジネス上の正当化なしに、依存関係の検出結果を抑制しないでください。