sast-configuration
セキュアなコードスキャン用のSASTツールを構成する
プロジェクト間で一貫したSASTツールの設定が必要です。このスキルでは、カスタムルールとCI統合によるSemgrep、SonarQube、CodeQLの設定に関するガイダンスを提供します。
Télécharger le ZIP du skill
Importer dans Claude
Allez dans Paramètres → Capacités → Skills → Importer un skill
Activez et commencez à utiliser
Tester
Utilisation de "sast-configuration". JavaScriptモノリス用のSAST 계획을 SemgrepとCodeQLを使用して作成してください。
Résultat attendu:
- JavaScript用のSemgrep自動ルールとOWASP Top Tenパックを選択します。
- メインブランチとプルリクエストでCodeQLを実行し、SARIFをアップロードします。
- スキャン時間を向上させるため、buildおよびvendorディレクトリを除外します。
- 重大および高レベルの発見に対してのみビルドを失敗させます。
Utilisation de "sast-configuration". ハードコードされたAPIキー用のカスタムSemgrepルールを作成するにはどうすればよいですか？
Résultat attendu:
- 'sk-'プレフィックスなどの一般的なキー形式に一致するパターンを定義します。
- メッセージフィールドを使用して、ハードコードされたキーがなぜリスクなのかを説明します。
- CIパイプラインをブロックするため、重大度をERRORに設定します。
- デプロイ前にサンプル vulnérable コードに対してルールをテストします。
Utilisation de "sast-configuration". PCI-DSSコンプライアンス用のSonarQube品質ゲートを設定してください。
Résultat attendu:
- セキュリティ関連のルールが有効な品質プロファイルを設定します。
- 脆弱なコード密度用のカスタムメトリックしきい値を設定します。
- 外部SASTツール結果のSARIFインポートを設定します。
- 品質ゲート失敗のメール通知を設定します。
Audit de sécurité
SûrThis is a pure documentation skill containing only guidance and example commands for configuring SAST tools. All 32 static findings are false positives triggered by security-related terminology in documentation. The skill describes legitimate defensive security practices (Semgrep, SonarQube, CodeQL configuration) with no executable code, file access, network calls, or command execution. Behavior matches stated purpose of providing SAST configuration guidance.
Facteurs de risque
🌐 Accès réseau (2)
⚙️ Commandes externes (11)
📁 Accès au système de fichiers (3)
Score de qualité
Ce que vous pouvez construire
SASTベースライン展開
初期組織ベースラインスキャン用のSemgrep、SonarQube、CodeQLを計画して構成します。
CIパイプライン統合
明確な失敗ゲートとともにSASTチェックをGitHub ActionsまたはGitLab CIに追加します。
カスタムルール作成
特定のコードベースで危険なパターンを検出するためのターゲットルールを作成します。
Essayez ces prompts
Pythonプロジェクトの基本的なSemgrepスキャンをセットアップし、最小限のCIステップを提案してください。
重大なSAST発見でマージをブロックし、ノイズを低く抑えるCIワークフローを定義してください。
大規模なモノリスでの誤検知を減らすためのルール調整とパス除外を提案してください。
明確な所有権とレポート付きでSemgrep、SonarQube、CodeQLを組み合わせる計画を設計してください。
Bonnes pratiques
- ベースラインスキャンから開始し、まず重大な問題を優先します
- 抑制をドキュメント化し、定期的にレビューします
- 依存関係をキャッシュし、インクリメンタルスキャンを使用して速度を向上させます
Éviter
- 低重大度の検出でマージをブロックする
- ドキュメント化せずに誤検知を無視する
- 生成コードまたはベンダコードをデフォルトでスキャンする
Foire aux questions
このスキルはどのプラットフォームをサポートしていますか？
このスキルの制限は何ですか？
既存のCIパイプラインと統合できますか？
データにアクセスまたは保存されますか？
ノイズの多い結果をトラブルシューティングするにはどうすればよいですか？
単一のツールのみを使用する場合と比較してどうですか？
Détails du développeur
Auteur
wshobsonLicence
MIT
Dépôt
https://github.com/wshobson/agents/tree/main/plugins/security-scanning/skills/sast-configurationRéf
main
Structure de fichiers
📄 SKILL.md