vulnerability-scanner
脆弱性スキャン
このスキルは、OWASP 2025 ガイドラインと自動スキャンツールを使用して、開発者がコードベース内のセキュリティ脆弱性を特定し、優先順位付けするのを支援します。
スキルZIPをダウンロード
Claudeでアップロード
設定 → 機能 → スキル → スキルをアップロードへ移動
オンにして利用開始
テストする
「vulnerability-scanner」を使用しています。 プロジェクトでセキュリティスキャンを実行
期待される結果:
セキュリティスキャン結果：
全体ステータス：3 件の問題が見つかりました
- 重大：0
- 高：2
- 中：1
スキャン概要：
1. コードパターン：2 件の高リスクパターンを検出
- utils.js:42 で eval() の使用を検出
- database.js:15 で SQL 文字列連結を検出
2. 設定：1 件の中程度の問題
- config/development.json でデバッグモードが有効
推奨事項：
- eval() をより安全な代替手段に置き換えてください
- 文字列連結の代わりにパラメータ化クエリを使用してください
- 本番設定でデバッグモードを無効にしてください
「vulnerability-scanner」を使用しています。 ハードコードされたシークレットを確認
期待される結果:
シークレットスキャン結果：
スキャン対象：156 ファイル
検出されたシークレット：1
- src/config.js:12 で API キーを検出
タイプ：汎用 API キー
重大度：高
推奨事項：シークレットを環境変数またはシークレットマネージャーに移動してください。API キーをソース管理にコミットしないでください。
セキュリティ監査
安全This is a defensive security skill that teaches vulnerability scanning principles. All static findings are false positives - the flagged patterns (eval, exec, pickle, secrets, API keys) are documented as patterns to DETECT or are in teaching examples, not actual vulnerabilities. The included security_scan.py script is a defensive scanner that identifies dangerous code patterns in user projects.
品質スコア
作れるもの
デプロイ前セキュリティチェック
本番デプロイ前にコードベースで自動セキュリティスキャンを実行し、一般的な脆弱性を早期に検出します。
セキュリティ監査ワークフロー
OWASP チェックリストと優先順位付けフレームワークを使用して、体系的なセキュリティ監査を実施します。
セキュアコーディング教育
一般的な脆弱性パターンと、異なるプログラミング言語でそれらを回避する方法について学びます。
これらのプロンプトを試す
vulnerability-scanner スキルを使用して、[PROJECT_PATH] のプロジェクトをセキュリティの問題についてスキャンしてください。フルスキャンを実行して結果を報告してください。
vulnerability-scanner スキルを使用して、コードベース内のハードコードされたシークレット、API キー、認証情報をスキャンしてください。AWS キー、トークン、パスワード、秘密鍵をチェックしてください。
vulnerability-scanner スキルを使用して、依存関係の既知の脆弱性を監査してください。古いパッケージとサプライチェーンリスクをチェックしてください。
vulnerability-scanner スキルを使用して、包括的なセキュリティ評価を実施してください。内容包括：依存関係監査、シークレットスキャン危険なコードパターン検出、設定レビュー。重大度別に発見事項の優先順位を付けて、修復手順を提供してください。
ベストプラクティス
- 開発ライフサイクル早期かつ頻繁にセキュリティスキャンを実行し、デプロイ前に問題を検出してください
- CVSS スコアとビジネスコンテキストと資産価値を組み合わせて、発見事項の優先順位を付けてください
- アクションを起こす前にすべての発見事項を手動で検証してください - 自動スキャナーは誤検出を生成します
- 繰り返しスキャンでのノイズを減らすために既知の安全パターンのベースラインを維持してください
回避
- 調査なしにスキャナーの警告を無視する - 低重大度の問題でも組み合わせれば悪用される可能性があります
- 手動セキュリティレビューと脅威モデリングなしで自動ツールのみに依存する
- デプロイ前に一度だけスキャンして以降は行わない - 新しい脆弱性が常に発生しています
- 優先順位付けなしにすべてのスキャナー発見事項を同様に扱う