Was macht claude-security-audit?
Führen Sie umfassende Sicherheitsüberprüfungen von Webanwendungen durch, einschließlich OWASP Top 10-Prüfungen, automatisierter Abhängigkeitsscans und detaillierter Schwachstellenberichte.
Funktionen
- OWASP Top 10-Checks: Automatische Identifizierung von häufigen Sicherheitsrisiken wie SQL-Injection, Cross-Site-Scripting (XSS), unsichere Deserialisierung und mehr.
- Abhängigkeitsscans: Überprüfung von Bibliotheken und Paketen (npm, pip, Maven, etc.) auf bekannte Schwachstellen über öffentliche Datenbanken.
- Detaillierte Berichte: Erstellung von Berichten mit Schwachstellenbeschreibung, Risikobewertung (z. B. CVSS-Score), betroffenen Codezeilen und empfohlenen Abhilfemaßnahmen.
- Integration mit CI/CD: Kann in Pipeline-Workflows eingebunden werden, um bei jedem Build automatisch Sicherheitsaudits durchzuführen.
Verwendung
claude security-audit --path ./mein-projekt --report output/sicherheitsbericht.md
Konfiguration
| Option | Beschreibung | Standard |
|---|---|---|
--path | Pfad zum zu auditierenden Projekt | aktuelles Verzeichnis |
--output | Pfad für den Bericht | ./security-report.md |
--severity | Minimale Schwachstellenschwere (low, medium, high, critical) | medium |
--skip-dependencies | Überspringt den Abhängigkeitsscan | falsch |
OWASP Top 10-Checks (Standardmäßig aktiviert)
- A01: Broken Access Control
- A02: Cryptographic Failures
- A03: Injection (SQL, NoSQL, OS, LDAP)
- A04: Insecure Design
- A05: Security Misconfiguration
- A06: Vulnerable and Outdated Components
- A07: Identification and Authentication Failures
- A08: Software and Data Integrity Failures
- A09: Security Logging and Monitoring Failures
- A10: Server-Side Request Forgery (SSRF)
Beispielausgabe
# Sicherheitsaudit-Bericht
## Zusammenfassung
- Gesamt: 12 Schwachstellen gefunden
- Critical: 2
- High: 5
- Medium: 4
- Low: 1
## Detaillierte Ergebnisse
### SQL-Injection in `login.php` (Zeile 45)
- **Schweregrad**: Critical (CVSS 9.8)
- **Beschreibung**: Die Benutzereingabe wird ohne ordnungsgemäße Bereinigung direkt in die SQL-Abfrage eingefügt.
- **Empfehlung**: Verwenden Sie parameterisierte Abfragen oder Prepared Statements.
### Veraltetes Paket `lodash` (Version 4.17.20)
- **Schweregrad**: High (CVSS 7.5)
- **Beschreibung**: Enthält eine Prototype-Pollution-Schwachstelle (CVE-2020-8203).
- **Empfehlung**: Aktualisieren Sie auf [email protected] oder höher.
Hinweise
- Die Fähigkeit führt keine tatsächlichen Angriffe durch, sondern führt statische Analyse- und Mustervergleiche durch.
- Für dynamische Tests (DAST) ist der Einsatz von zusätzlichen Tools erforderlich.
- Die Ergebnisse sollten immer von einem Sicherheitsexperten überprüft werden, bevor sie als endgültig betrachtet werden.